近日，本田被曝存在API漏洞，客戶數(shù)據(jù)正處于高風(fēng)險(xiǎn)狀態(tài)。由于利用API漏洞可以重置任何帳戶的密碼，所以本田的電力設(shè)備、船舶、草坪和花園電子商務(wù)平臺(tái)等都極易遭到外部人員的入侵。
幾個(gè)月前，一位化名Eaton Works的安全研究人員發(fā)現(xiàn)了本田系統(tǒng)的安全漏洞，他利用該漏洞入侵了本田的供應(yīng)商門戶網(wǎng)站。
(相關(guān)資料圖)
Eaton Works利用了一個(gè)密碼重置API重置了那些本田內(nèi)部有價(jià)值的賬戶的密碼，然后在公司的網(wǎng)絡(luò)上進(jìn)行了不受限制的管理級(jí)數(shù)據(jù)訪問。
研究人員稱：訪問控制的破壞或缺失使得訪問平臺(tái)上的所有數(shù)據(jù)成為可能，即使是以測(cè)試帳戶登錄也是如此。
以下這些信息不僅暴露給了安全研究人員，還極可能暴露給了那些利用相同漏洞入侵的威脅行為者：
從2016年8月到2023年3月，所有經(jīng)銷商的21393個(gè)客戶訂單，其中包括客戶姓名、地址、電話號(hào)碼和訂購(gòu)的商品1570個(gè)經(jīng)銷商網(wǎng)站(其中1091個(gè)是活躍的)，所有站點(diǎn)均可被修改3588個(gè)經(jīng)銷商用戶/賬戶(包括姓名、電子郵件地址)，任意用戶密碼均可被修改1090封經(jīng)銷商電子郵件(包括姓名)11034封客戶郵件(包括名字和姓氏)Stripe、PayPal和Authorize.net提供的私鑰。內(nèi)部財(cái)務(wù)報(bào)告曝光的客戶郵件(eaton-works.com)
上述數(shù)據(jù)可能被用于發(fā)起網(wǎng)絡(luò)釣魚活動(dòng)、社會(huì)工程攻擊，或直接被人在黑客論壇和暗網(wǎng)市場(chǎng)上出售。此外，通過訪問經(jīng)銷商網(wǎng)站，攻擊者還可以植入信用卡刷卡程序或其他惡意JavaScript代碼片段。
能夠編輯頁(yè)面內(nèi)容(eaton-works.com)
訪問管理面板EatonWorks解釋說，API漏洞存在于本田的電子商務(wù)平臺(tái)，該平臺(tái)將“powerdealer.honda.com”子域名分配給注冊(cè)經(jīng)銷商/經(jīng)銷商。
研究人員發(fā)現(xiàn)，本田有一個(gè)網(wǎng)站的電力設(shè)備技術(shù)快車(PETE)密碼重置API在處理重置請(qǐng)求時(shí)不需要令牌或之前的密碼，只需要有效的電子郵件即可。
雖然在電子商務(wù)子域登錄門戶上不存在此漏洞，但通過PETE站點(diǎn)切換的憑據(jù)仍然可以對(duì)它們起作用，因此任何人都可以通過這種簡(jiǎn)單的攻擊訪問內(nèi)部經(jīng)銷商數(shù)據(jù)。
密碼重置API請(qǐng)求發(fā)送到PETE (eaton-works.com)
唯一缺失的部分是擁有一個(gè)屬于經(jīng)銷商的有效電子郵件地址，研究人員從YouTube視頻中獲取了該電子郵件地址，該視頻展示了使用測(cè)試帳戶的經(jīng)銷商面板。
YouTube視頻曝光測(cè)試賬號(hào)郵箱
除了測(cè)試賬戶，下一步就是從真正的交易商那里獲取信息。但最好是在不中斷操作的情況進(jìn)行，這樣就不必重新設(shè)置數(shù)百個(gè)帳戶的密碼。
研究人員發(fā)現(xiàn)的解決方案是利用第二個(gè)漏洞，即平臺(tái)中用戶id的順序分配和缺乏訪問保護(hù)。
這使得任意訪問所有本田經(jīng)銷商的數(shù)據(jù)面板成為可能，具體方法就是將用戶ID增加1，直到?jīng)]有任何其他結(jié)果。
研究人員稱：只要增加ID就可以訪問每個(gè)經(jīng)銷商的數(shù)據(jù)。底層JavaScript代碼接受該ID，并在API調(diào)用中使用它來獲取數(shù)據(jù)并在頁(yè)面上顯示。而值得慶幸的是，這個(gè)操作能讓重新設(shè)置密碼變得沒什么實(shí)際效用。
增加用戶ID號(hào)碼以訪問所有經(jīng)銷商面板(eaton-works.com)
值得注意的是，本田的注冊(cè)經(jīng)銷商可能會(huì)利用上述漏洞訪問其他經(jīng)銷商的面板，進(jìn)而訪問他們的訂單、客戶詳細(xì)信息等。最后一步就是訪問本田的管理面板，因?yàn)檫@是該公司電子商務(wù)平臺(tái)的中央控制點(diǎn)。
研究人員通過修改HTTP響應(yīng)假扮管理員訪問該面板，從而實(shí)現(xiàn)無限制地訪問本田經(jīng)銷商網(wǎng)站平臺(tái)。
本田經(jīng)銷商網(wǎng)站管理面板(eaton-works.com)
有關(guān)上述這個(gè)漏洞的相關(guān)問題是在今年3月16日?qǐng)?bào)告給了本田，到今年4月3日，所有問題都已得到妥善解決。
標(biāo)簽：
