福特汽车公司网站上的一个漏洞允许访问敏感系统并获取专有数据,如客户数据库、员工记录、内部罚单等。
数据泄露的原因是在福特服务器上运行的Pega Infinity客户参与系统配置错误。
从数据泄露到账户接管
上周,研究人员披露了在福特网站上发现的一个漏洞,他们可以通过这个漏洞查看公司的机密记录、数据库,并进行账户接管。
该漏洞是由CVE-2021-27653引起的,这是一个配置不当的Pega Infinity客户管理系统实例中的信息暴露漏洞。
研究人员与BleepingComputer分享了福特内部系统和数据库的许多截图。例如,该公司的票务系统如下图所示:
福特的内部票务系统暴露给研究人员
要利用该漏洞,攻击者首先必须访问配置错误的Pega Chat Access Group门户实例的后端Web面板:
www.rpa-pega-1.ford.com/prweb/PRCha…
bD8qH*****bIw4Prb/!RPACHAT/$STANDARD...
正如BleepingComputer所见,作为URL参数提供的不同负载可以使攻击者运行查询、检索数据库表、OAuth访问令牌和执行管理操作。
研究人员表示,一些暴露的资产包含敏感的个人身份信息 (PII),包括:
客户和员工记录
财务账号
数据库名称和表
OAuth访问令牌
内部支持票
组织内的用户个人资料
脉冲动作
内部接口
搜索栏历史
“影响规模很大,攻击者可以利用被破坏的访问控制中发现的漏洞,获取大量敏感记录,进行账户接管,并获取大量数据。”威利斯在一篇博客文章中写道。
花了六个月的时间“强制披露”
今年2月研究人员向Pega报告了他们的发现,他们相对较快地修复了聊天门户中的CVE。大约在同一时间,这个问题也通过他们的HackerOne漏洞披露计划报告给了福特。但漏洞事项推进缓慢。
以下是暴露的许多内容:
客户数据库
员工记录
内部票务系统
OAuth令牌
请求信息
财务……
大约有8页的数据库表因此很难完整表达。
一份分享给BleepingComputer的披露报告副本显示,福特没有对具体的安全相关行动发表评论。
尽管福特在报告发布后24小时内将这些终端下线,但研究人员在同一份报告中评论称,在报告发布后这些终端仍然可以访问。目前尚不清楚是否有任何威胁行为者利用该漏洞破坏福特的系统,或者是否访问了敏感的客户/员工PII。
超过六成的安全漏洞与代码有关,而面对日益增加的网络攻击,减少安全漏洞加强软件安全,已成为每个企业都应重视的首要问题。数据显示,在软件开发过程中通过静态代码检测技术可以帮助企业减少30%-70%的安全漏洞。同时不需要执行代码即可检测出运行时缺陷及代码缺陷。此外能够快速准确检测所有的代码级别可执行路径组合,覆盖全面。从企业角度来说,在研发阶段开始找到并修复多种问题,可以帮助开发人员节省大量时间、人力成本,而且帮助企业造成尽可能少的经济损失。
参读链接: