Новости Злоумышленники могли по кирпичикам разобрать онлайн-сообщество фанатов LEGO

NewsMaker

I'm just a script
Премиум
13,579
20
8 Ноя 2022

Уязвимости в API на сайте BrickLink позволяют киберпреступникам похищать аккаунты и взламывать серверы.​


kny0y1310f6e97u6x2wpio79mxy6ozak.jpg


BrickLink – это крупнейшее в мире онлайн-сообщество поклонников LEGO, в котором зарегистрировано более миллиона участников. В API сайта сообщества специалисты Salt Security обнаружили две уязвимости, успешная эксплуатация которых могла позволить злоумышленникам получить доступ к аккаунтам пользователей или взломать внутренние серверы.

Бреши в защите были обнаружены в ходе тестирования полей с которыми взаимодействуют пользователи BrickLink.


a8ED-TMZeLXmnD_xXQffpqVpob-Ba_CwxSYKnL0SD0hp_WCJqg.png


Первая уязвимость оказалась связана с полем “Найти пользователя по никнейму” в разделе поиска купонов. Она позволяла злоумышленнику внедрить и выполнить код на устройстве цели, используя специально созданную ссылку. Используя ID сеанса пользователя, полученный на другой странице, хакер мог воспользоваться этой брешью в защите, чтобы перехватить сеанс и завладеть аккаунтом пользователя.

Последствия такого взлома могли быть крайне серьезными, ведь в руки киберпреступника попадали все данные жертвы, хранящиеся на сайте:

  • Некоторые личные данные;
  • Адрес электронной почты;
  • Адрес доставки заказов;
  • История заказов;
  • Купоны;
  • Полученные отзывы;
  • Список желаемых товаров;
  • История сообщений.

Вторая уязвимость была обнаружена на странице загрузки деталей в список желаемого. На этой странице пользователи загружают XML-списки с деталями LEGO, которые им хочется найти и приобрести. Используя уязвимость, аналитики Salt Security провели успешную XXE-атаку, добавив ссылку на внешнюю сущность в файл. Эта атака позволила специалистам прочитать файлы на веб-сервере и подделать запросы на его стороне, что могло привести к утечке токенов AWS EC2.

ИБ-исследователи сообщили об уязвимостях администрации платформы, которая уже приняла меры по их устранению.
 
Источник новости
https://www.securitylab.ru/news/535300.php

Похожие темы