神刀安全网

Uber付给发现登陆绕过漏洞的研究员1万美金

Uber付给发现登陆绕过漏洞的研究员1万美金

汽车分享公司Uber最近修复了该公司网站的一个漏洞,该漏洞能够允许攻击者没有密码也可以登录一些 “.uber.com” 网站,以及进一步对其内部网络的攻击。

Uber奖励了在上个月发现该漏洞的芬兰安全研究员Jouko Pynnonen 10000美元,这等于该公司在今年早些时候启动这一项目之后支付的最高赏金。

根据Pynnonen的介绍,这个漏洞分为两部分,一个让他绕过Uber的员工身份验证,系统超级用途OneLogin,另一个可以让攻击者进入Uber的内部网络——托管在Atlassian的融合协作软件。

Pynnonen,供职于Klikki Oy公司,他在周二告诉Threatpost他发现的这个登录bug可以用来危害使用WordPress的服务器,像Uber的公关网站——newsroom.uber.com。

Uber付给发现登陆绕过漏洞的研究员1万美金

而据研究者介绍,由OneLogin提供的WordPress插件中包含一个bug,它能够给攻击者提供任何他们想要的用户名、电子邮件地址、姓名或角色。

“如果一个用户名不存在于WordPress数据库中,那么这个插件将会创建一个新用户,”Pynnonen 在他在HackerOne上关于这个bug的概述中写道。

在网站eng.uber.com,他能够创建一个“Subscriber”账户,而在另一个网站newsroom.uber.com,他可以创建一个“Administrator”账户,仅仅通过猜测这个角色的名字就可以实现。

Uber付给发现登陆绕过漏洞的研究员1万美金

当他获得Newsroom网站的管理员权限之后,他发现他可以继续攻击内部网站,因为大部分内部网站team.uberinternal.com的页面都指向Newsroom网站主导的一个脚本。

Pynnonen发现的漏洞的第二部分是它能够修改JavaScript文件,adrum.js,来威胁Uber的内部网络。

据研究者介绍,攻击者可以通过被攻陷的网站实现远程代码执行,因为JavaScript可以从Newsroom网站注入融合环境。Pynnonen描述了一个具体的例子,当它被加载之后,可以安装一个包含代码的扩展或者插件,同样的也可以创建一个后门服务。

Uber迅速解决了这个问题——在一天之中就解决了它们,并且承认Pynnonen的工作,还奖励了他该公司最大的奖金。这么高的奖励是由于链接JavaScript源代码,Uber承认这个Bug能将影响提升到很大。Pynnonen在5月初私下报道了这个事件,但相应的bug报告直到周一才在HackerOne公开报道。

这是今年第二次Pynnonen由于挖掘出一个关键的安全漏洞而获得10000美元的奖励。今年1月份,雅虎披露他们已经修补了邮件服务的一个关键漏洞,而该漏洞正是Pynnonen在上月发现的可以让攻击者获得用户帐户完全控制权的漏洞。

Uber的Bug赏金项目上马,并于3月份通过了内测,但直到现在该公司只在一次事件中奖励一名研究员10000美元。今年3月,项目上马后不久,一个研究员在Uber的网站上发现了一个远程代码执行漏洞。

Pynnonen一直擅长发现首次发布的乘车分享应用程序中的bug。他提起了13个bug报告,主要是远端控制设备,CSRF,XSS和影响服务器使用的WordPress组件的SQL注入漏洞,他是公司HackerOne页面上最好的报道者之一。

本文由 360安全播报 翻译,转载请注明“转自360安全播报”,并附上链接。

原文链接:https://threatpost.com/uber-pays-researcher-10k-for-login-bypass-exploit/118516/

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » Uber付给发现登陆绕过漏洞的研究员1万美金

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址