მკვლევარი ამტკიცებს, რომ MAG-მა API გასაღებები JavaScript-ში ოთხი წელი დატოვა

უსაფრთხოების მკვლევარმა სკოტ ჰელმმა განაცხადა, რომ მისი ანალიზი მხარს უჭერს ფულკრუმსეკის პრეტენზიას, რომ მანჩესტერის აეროპორტების ჯგუფმა (MAG) პრივილეგირებული API გასაღებები კლიენტის მხარის JavaScript-ში გამოავლინა.

ჰელმმა განაცხადა, რომ ამ დასკვნამდე მივიდა მას შემდეგ, რაც კიბერშანტაჟის ჯგუფის მიერ მოწოდებული ინფორმაცია გამოიყენა და დაახლოებით 8,8 მილიონი MAG მომხმარებლის მონაცემების ქურდობის გზა აღადგინა.

თავდასხმის უკან მდგომმა დამნაშავეებმა MAG-ის უსაფრთხოების ხარვეზი „ტრაგიკომიკურად“ აღწერეს. მათ განაცხადეს, რომ MAG-მა Iterable-ის მარკეტინგული ავტომატიზაციის პლატფორმისთვის განკუთვნილი ზედმეტად პრივილეგირებული API გასაღებები MAG-ის სამი აეროპორტის ვებსაიტებზე მიწოდებულ front-end JavaScript-ში გამოავლინა: მანჩესტერი, სტანსტედი და აღმოსავლეთ მიდლენდსი.

ჰელმმა ინტერნეტ არქივის Wayback Machine-ით JavaScript-ის ძველი ვერსიები მოიძია და აღმოაჩინა, რომ სამი გასაღები პირველად აეროპორტების ვებსაიტებზე 2022 წლის ივნისსა და ივლისში გამოჩნდა. იგივე მნიშვნელობები 2026 წლის აგვისტომდე დარჩა გამჟღავნებული, თქვა მან.

ჰელმმა განაცხადა: „თუ ვადებს პირიქით წავიკითხავთ, სიტუაცია კიდევ უფრო უარესია. ნებისმიერს, ვინც 2022 წლის ივნისიდან 2026 წლის აგვისტომდე ნებისმიერ დღეს ამ გვერდის წყაროს უყურებდა, გასაღები შეეძლო აეღო. ფულკრუმსეკი უბრალოდ ისინი არიან, ვინც გვითხრეს.“

ჰელმმა განაცხადა: „გარედან შეუძლებელია იმის ცოდნა, ვინ კიდევ გააკეთა ეს, და პატიოსანი პასუხია, რომ MAG-იც ვერ გაიგებს ამას, თუ არ გადახედავს Iterable-ის API-ის ოთხი წლის ლოგებს, თუ საერთოდ აქვს ასეთი ლოგები.“

ჰელმმა ახსნა, რომ API გასაღებები პირდაპირ HTML-ში არ იყო ჩადებული, მაგრამ ვინც საიტების მიერ ჩატვირთულ JavaScript-ის ბანდლებს შეისწავლიდა, მათ იპოვიდა. ეს ხსნის, რატომ დარჩა ხარვეზი აეროპორტის IT გუნდებისთვის შეუმჩნეველი ოთხ წელზე მეტი ხნის განმავლობაში.

ჰელმმა განაცხადა, რომ ბრაუზერში მიწოდებული კოდი გასაღებებს იყენებდა სერვერის მხარის API ოპერაციების ავტორიზაციისთვის, რასაც Iterable-ის დოკუმენტაცია პირდაპირ კრძალავს. მოთხოვნები უნდა გადასულიყო MAG-ის საკუთარ სერვერებზე, სადაც რწმუნებათა წერილები საიდუმლოდ დარჩებოდა და წვდომა შეზღუდული იქნებოდა.

ჰელმმა განაცხადა, რომ რწმუნებათა წერილების გამჟღავნება არ იყო ერთადერთი პრობლემა. გასაღებები მათი დანიშნულებისთვის ზედმეტად პრივილეგირებული იყო, რაც მარკეტინგული ელფოსტების გვერდის დაწკაპუნებების მიკუთვნება იყო.

გასაღებებს ჰქონდათ წაკითხვა-ჩაწერის წვდომა Iterable-ის ძირითად endpoint-ებზე, რაც ნებისმიერს, ვინც მათ მიიღებდა, მომხმარებელთა პროფილებზე, პარკინგისა და ლაუნჯის დაჯავშნებზე და Fast Track შესყიდვებზე წვდომას აძლევდა.