پرداخت ۱۰ هزار دلار به یک محقق از سوی Uber برای گزارش یک حفره

یک محقق امنیتی ۱۰ هزار دلار در برنامه پرداخت پاداش در قبال گزارش حفره‌ی شرکت Uber برای گزارش یک آسیب‌پذیری حیاتی احراز هویت که بر یک افزونه ثالث وردپرس تأثیر می‌گذاشت، به دست آورده است.
جوکو پینونن از شرکت Kikki Oy متوجه شده است که چندین دامنه‌ی وردپرس شرکت Uber از OneLogin SAML SSO استفاده می‌کنند. افزونه‌ای است که به ارائه‌ی امکان ورود یک مرحله‌ای به حساب از طریق SAML می‌پردازد. این محقق کشف کرده است که این افزونه دارای آسیب‌پذیری است و به مهاجمان اجازه می‌دهد تا احراز هویت را دور زده و به حساب‌های کاربری دست پیدا کنند و اگر بتوانند نام مربوطه را هم حدس بزنند می‌توانند، به مجوزهای مدیریت دسترسی پیدا کنند. (برای مثال نام‎هایی مانند admin ،editor ،contributor ،subscriber).

پینونن متوجه شد که این آسیب‌پذیری در آخرین نسخه افزونه OneLogin وصله شده است اما مشخص نیست که آیا کسی این مشکل را به توسعه‌دهنده گزارش داده است و یا اینکه به صورت تصادفی وصله شده است چرا که هیچ اشاره‌ای به حفره‌های امنیتی در تغییرات آن وجود ندارد. ما برای دریافت توضیحات به OneLogin مراجعه کردیم.
در مورد Uber، این شرکت حمل و نقل از نسخه‌ی قدیمی این افزونه روی همه‌ی وبگاه‌های وردپرس خود استفاده می‌کرده است. پینونن، وجود این حفره را، با دسترسی به حسابی با مجوز subscriber روی دامنه‌ی eng.uber.com و دسترسی به حسابی با مجوز administrator روی دامنه‌ی newsroom.uber.com نشان داده است. این کارشناس گفته است که او هفت دامنه‌ی uber.com را که دارای این افزونه آسیب‌پذیر بوده‌اند، کشف کرده است.

Uber تصمیم گرفته است تا به این شکارچی حفره مبلغ ۱۰ هزار دلار پاداش دهد، که حداکثر مبلغ پاداش در نظر گرفته شده از سوی این شرکت است، زیرا که او نشان داده که یک مهاجم می‌تواند از دسترسی به وب‌گاه newsroom.uber.com سوءاستفاده کرده و حملاتی دیگر را صورت دهد و کدهای دلخواه خود را در وب‌گاه team.uberinternal.com اجرا کند.
پینونن در مجموع ۱۳ حفره را به Uber گزارش داده است که از جمله‌ی آن‎ها حفره‌هایی مربوط به مشکلات تزریق SQL ،CSRF ،XSS منعکس شده و حفره‌های مربوط به افزایش دسترسی هستند. Uber برای برخی از این حفره‌ها جایزه‌ای به مبلغ ۲۰۰۰ تا ۳۰۰۰ دلار به این کارشناس پرداخت کرده است اما برخی از آن‎ها را به عنوان حفره‌های فاقد شرایط لازم دانسته و در برنامه پاداش در برابر حفره‌ی خود به‎روزرسانی‌هایی انجام داده است.

برای مثال، این شرکت اعلام کرده است که در اواخر آوریل این شرکت پاداش‌های جداگانه‌ای برای هر کدام از آسیب‌پذیری‌هایی که به صورت تکی معرفی می‌شوند، نخواهد پرداخت (مثلا افزونه‌های استفاده شده در وبگاه‌های وردپرس Uber). این شرکت گفته است که از این پس این شرکت به گزارش مشکلاتی که مربوط به خطرات سطح بالا هستند، پاداش می‌دهد و دیگر «ده‌ها هزار دلار به خاطر از بین بردن یک آسیب‏پذیری ضعیف افزونه پاداش نمی‌پردازد».
Uber گفته است: «در پایان پاداش‌ها بنا بر اختیار ما پرداخت می‌شود. برخی از محققان با برخی از تصمیمات ما موافق نیستند، اما در حال پرداخت پاداش در بهترین سطح موازین اخلاقی هستیم و مطمئنیم که اکثر پژوهشگران پاداش‌های خود را عادلانه و حتی سخاوتمندانه می‎دانند».

منبع: asis

درباره نماد امنیت وب

“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.

اسکن امنیتی وب سایت
(5000 تومان)

نوع وب سایت: وبلاگ، شرکتی، تجارت الکترونیک و کسب و کارحرفه ای
آسیب پذیری های OWASP (شامل بررسی 10 آسیب پذیری متداول)
اسکن نرم افزار/وب سایت توسط Acunetix نسخه 11
اسکن تمامی پورت ها با ابزار Nmap
اسکن وب سرور و پیکربندی آن توسط ابزار Nikto
اسکن تزریق توسط نرم افزار قدرتمند SQLmap