HackerOne-plattformen, som ger sÀkerhetsforskare möjlighet att informera utvecklare om upptÀckta sÄrbarheter och fÄ belöningar för detta, har drabbats av ett intrÄng. En av forskarna lyckades fÄ tillgÄng till en sÀkerhetsanalytikers konto pÄ HackerOne, som hade möjlighet att se stÀngda material, inklusive information om sÄrbarheter som Ànnu inte ÄtgÀrdats. Under plattformens existens har HackerOne betalat ut totalt 23 miljoner dollar till forskare för att ha upptÀckt sÄrbarheter i produkter hos mer Àn 100 kunder, dÀribland Twitter, Facebook, Google, Apple, Microsoft, Slack, Pentagon och den amerikanska marinen.
Det Àr vÀrt att notera att kontointrÄnget blev möjligt pÄ grund av den mÀnskliga faktorn. En av forskarna skickade in en begÀran om en potentiell sÄrbarhet i HackerOne. En analytiker pÄ HackerOne försökte under granskningen av begÀran Äterskapa den föreslagna hackningsmetoden, men kunde inte reproducera problemet, och författaren till begÀran fick ett svar med en förfrÄgan om ytterligare detaljer. Under tiden missade analytikern att han av misstag skickade sin session-cookie tillsammans med resultaten av den misslyckade kontrollen. Bland annat gav analytikern exempel pÄ en HTTP-förfrÄgan utförd med curl, som inkluderade HTTP-rubriker dÀr han glömde att ta bort innehÄllet i session-cookien.
Forskaren noterade detta misstag och kunde fÄ tillgÄng till det privilegierade kontot pÄ hackerone.com genom att helt enkelt anvÀnda det observerade cookie-vÀrdet utan att behöva genomgÄ den flerfaktorsautentisering som tillÀmpas av tjÀnsten. Attacken blev möjlig eftersom sessionen pÄ hackerone.com inte var kopplad till anvÀndarens IP-adress eller webblÀsare. Den problematiska session-ID:n togs bort tvÄ timmar efter att rapporten om lÀckan publicerades. För att informera om problemet beslutades det att forskaren skulle fÄ 20 000 dollar.
HackerOne har initierat en granskning för att analysera eventuell uppkomst av liknande Cookie-lÀckor i det förflutna och för att bedöma potentiella lÀckor av konfidentiella uppgifter om kundproblem. Granskningen upptÀckte inga tecken pÄ lÀckor i det förflutna och faststÀllde att forskaren som visade problemet kunde ha fÄtt information om cirka 5% av alla program som presenterades i tjÀnsten, till vilka analytikern hade tillgÄng, vars sessionsnyckel hade anvÀnts.
För att skydda mot sÄdana attacker i framtiden har en bindning av sessionsnyckeln implementerats till IP-adress och filtrering av sessionsnycklar och autentiseringstoken i kommentarer. I framtiden planeras bindningen till IP att ersÀttas med bindning till anvÀndarens enheter, eftersom bindning till IP Àr opraktisk för anvÀndare med dynamiskt tilldelade adresser. Det har ocksÄ beslutats att utöka loggsystemet med information om anvÀndartillgÄng till data och att implementera en modell för granulÀr Ätkomst för analytiker till kunddata.
KĂ€lla: opennet.ru
