Cookie泄露导致的帐户接管——20000美金

iso60001  1827天前

22.png

近期,HackerOne安全研究人员无意中泄露出自己的会话cookie,导致外界用户可直接看到研究人员的秘密安全报告。

这件事发生在上周,当时一名HackerOne研究人员和漏洞提交者(普通用户)正就一份漏洞悬赏报告进行讨论。研究人员直接从浏览器控制台复制了一个cURL命令,将其发给用户,但忘记删除其中的敏感信息。

这导致HackerOne研究人员的cookie被他人知晓。值得一提的是,这个会话cookie是HackerOne工作人员通过多因素单点登录(SSO)后而获得的,可进行多个敏感操作,包括查看所有分析报告在内的各种敏感信息,甚至还可以看到一些非公开的漏洞悬赏项目的漏洞信息。

33.png

通过HackerOne提供的HAS(Human-Augmented Signal)服务的收件箱、分类收件箱或某些邮箱特性,攻击者可以看到报告的标题以及有限的元数据,例如在使用报告视图功能时可以看到的报告内容。

HAS邮箱在默认视图中最多加载25个报告,分类收件箱在用户界面中最多加载100个报告,而主收件箱在默认视图中最多加载25个报告。

HackerOne对外表示:“所泄露的数据和HackerOne研究人员的访问权限有关,并不是所有HackerOne用户都受影响。如果我们确定你的数据有泄露的可能,就会发送单独的通知。”

在检查了自己能接触到的数据后,意外得到cookie的那名用户于美国时间11月24日上午05:00向HackerOne报告了这一问题。两小时后,安全小组注意到了该报告,并于当天注销了这个cookie。

在注销后,HackerOne开始集中于调查受影响的客户、数据,进行积极沟通,修复漏洞。一切都于2019年11月26日正式结束。

这一安全事件的根源并不是HackerOne研究人员无意中的失误,因为任何人都可能犯错误。重点在于,HackerOne缺乏类似的情况的防御。事实上,这个由黑客驱动的漏洞悬赏平台在对cookie的安全性使用方面存在漏洞。

最终,为了解决这个问题,HackerOne决定将用户的session和他的IP地址绑定(如果有人试图从另一个IP地址使用它,就将被注销)。同时对不同的国家也有不同的安全限制,这些措施并不会直接向用户说明。

此外,HackerOne还对处理自身员工的安全事件的流程进行了修改,确保在相关事件发生时能立刻找到相关人员,对牵涉平台自身安全性的漏洞要最快速度处理。

虽然HackerOne能通过GraphQL查询确定哪些报告被访问过,但还是计划改进数据访问信息的日志记录,以更快速地进行事件响应。

根据HackerOne的说法,他们调查并没有发现其他研究人员存在类似的cookie泄漏问题。

在正式确认了上报者所能获取信息后,该平台决定奖励2万美元。该漏洞被评为高危,CVSS评分8.3。

44.png

VERT的安全研究员Craig Young表示,自己已接到HackerOne发布的令人震惊的通知,已知道自己和其他研究人员的非公开报告已被泄露。

虽然HackerOne的响应速度很快,但这一事件再次提醒人们,BugCrowd或HackerOne等进行漏洞整合服务的组织若存在安全风险,带来的威胁是难以估计的。

此事过后,也许会有大量安全人员针对漏洞平台进行测试,一部分可能是为了高额的赏金,而另外一部分可能就是为了获取平台的漏洞报告。

本文由白帽汇整理并翻译,不代表白帽汇任何观点和立场
来源:https://www.securityweek.com/hacker-accessed-private-reports-hackerone

最新评论

昵称
邮箱
提交评论