Niet elke beveiligingskwetsbaarheid is op zichzelf een hoog risico – maar in handen van een geavanceerde aanvaller, zelfs kleine zwakke punten kunnen escaleren in grote inbreuken. Deze vijf echte kwetsbaarheden, ontdekt door het bug-jagende team van Intrader, onthullen hoe aanvallers over het hoofd worden gezien in ernstige beveiligingsincidenten.
1. AWS -referenties stelen met een omleiding
Server-side aanvraagvervalsing (SSRF) is een veel voorkomende kwetsbaarheid die een aanzienlijke impact kan hebben, vooral in cloud-gehost applicaties. Als een webtoepassing bronnen haalt uit door de gebruiker geleverde URL’s, moet er zorgen worden gemaakt om ervoor te zorgen dat aanvallers geen aanvragen kunnen manipuleren om toegang te krijgen tot onbedoelde bronnen.
Tijdens het beoordelen van een thuisbewegende app in AWS testte ons team gemeenschappelijke SSRF-bypass-technieken.
De aanvalsketen was als volgt: de app stuurde een WebHook -verzoek naar de webserver van de aanvaller, die reageerde met een 302 -omleiding naar AWS’s metadata -service. De app volgde de omleiding en registreerde de reactie, die gevoelige metagegevens blootstelde – inclusief AWS -referenties.
Met deze referenties kan een aanvaller IAM -machtigingen opsommen en proberen dieper in de cloudomgeving te draaien.
Deze aanval zou niet mogelijk zijn geweest als de metagegevenservice IMDSV2 afdwingt – een best practice die een goede cloudbeveiligingsscanner zou hebben gemarkeerd. Hoewel geautomatiseerde tools de volledige aanvalsketen misschien niet hebben gedetecteerd, had het breken van dit deel van de keten exploitatie kunnen voorkomen.
2. Van blootgestelde .git repo tot volledige databasetoegang
Tijdens het onderzoeken van een onbedoeld blootgestelde .git repository gemarkeerd door een kwetsbaarheidsscan, ontdekte ons team dat het tot een openbaar toegankelijke webtoepassing behoorde.
Als we de broncode van de applicatie bekijken, hebben we een authenticatie -bypass ontdekt – de inlogpagina was toegankelijk door een verborgen parameter te leveren.
Ons team kreeg toegang tot een managementtool, waarbij verdere analyse een blinde SQL -injectie -kwetsbaarheid op een geverifieerde pagina onthulde.
Het benutten van deze kwetsbaarheid verleende toegang tot de database van een universiteit, die, als het wordt gebruikt door een aanvaller, gevoelige persoonlijke informatie van studenten en personeel had kunnen blootstellen – laten zien hoe een kleine misconfiguratie snel kan escaleren in een groot beveiligingsrisico.
3. Hoe een klein detail leidde tot externe code -uitvoering
Tijdens het jagen op bugs in een documentondertekening -app, merkte ons team op dat, na het ondertekenen van een PDF, de metadata “Exiftool” vermeldde als de maker van document. Gezien de geschiedenis van Exiftool over kritieke kwetsbaarheden, hebben we dieper gegraven.
Hoewel de applicatie de versie van de tool niet heeft bekendgemaakt, bevestigde het testen op recente bekende kwetsbaarheden dat het kwetsbaar was voor CVE-2021-22204. Door een kwaadwillende PDF te maken en te uploaden, heeft ons team met succes externe commando-uitvoering gekregen als de WWW-data-gebruiker.
Deze voet aan de grond had een aanvaller kunnen kunnen benutten om extra kwetsbaarheden op de getroffen server te benutten, waardoor ze worteltoegang kunnen krijgen en naar andere machines op het netwerk kunnen draaien, waardoor uitgebreide schade wordt veroorzaakt.
4. Van zelf-XSS tot site-brede accountovername
Cross-site scripting (XSS) is een krachtige aanvalsvector voor sessie die aanvallen kapt, vooral als er geen gebruikersinteractie vereist is. Hoewel een ‘zelf-XSS’ kwetsbaarheid meestal een laag risico is, kan het gevaarlijk worden in combinatie met een andere kwetsbaarheid.
Ons team heeft dit exacte scenario ontdekt tijdens het beoordelen van een veilingtoepassing. Een zelf-XSS-kwetsbaarheid werd ontdekt wanneer een door de gebruiker geleverde HTTP-aanvraagkop werd weerspiegeld in het antwoord van de toepassing.
Normaal gesproken zou dit onschadelijk zijn, omdat een aanvaller de browser van een slachtoffer niet kan dwingen om een kwaadwillende kopbal te sturen – maar verder testen heeft een kwetsbaarheid van cache -geschillen ontdekt.
Door deze twee zwakke punten te keren, heeft ons team de app voorgedrukt in het cachen en het serveren van de Payload Self-XSS aan alle sitebezoekers, het escaleren naar een locatie-brede aanhoudende XSS-aanval.
Hierdoor zou een aanvaller een gebruikersaccount kunnen kapen – inclusief admin -accounts.
5. Een nummer wijzigen om gevoelige gegevens bloot te leggen
API -zwakke punten komen vaker voor dan je zou denken. Onder hen vereisen idor kwetsbaarheden weinig moeite om te exploiteren dan het wijzigen van een identificatie in een verzoek.
De echte uitdaging voor een aanvaller is geen uitvoering, maar ontdekking – het vinden van een kwetsbaar eindpunt dat kan worden gebruikt zonder de juiste authenticatie of autorisatie, en erkennen dat het gevoelige gegevens blootlegt. Eenmaal gevonden, kan exploitatie net zo eenvoudig zijn als het wijzigen van de identificatie in een bron die de gebruiker niet bezit, of gewoon een verzoek indienen aan een eindpunt dat voorbehoud moet worden gereserveerd.
Ons team identificeert vaak idor, ontbrekende authenticatie en gebroken autorisatiezwaktes in API’s. Hier zijn enkele fragmenten van echte HTTP -aanvragen en paden die we hebben gevonden die zeer gevoelige gegevens hebben blootgelegd:
- Get /organisaties /edit_user? User_id = 1001: De aanvaller kan gebruikersprofielen en kapaccounts wijzigen
- Get /Prod-applicantresumes/12031.pdf: De aanvaller heeft toegang tot de CVS van werkzoekenden.
- Post /bestellen /downloaden, bestelno = 10202: De aanvaller heeft toegang tot de bestelinformatie van de klant.
Deze voorbeelden zijn ongeveer zo eenvoudig als API-zwakke punten krijgen, maar de gevolgen zijn verreikend. Door eenvoudigweg één nummer te wijzigen en duizenden waarden op te sommen, kunnen volledige databases van informatie die bij andere klanten behoren, worden gedownload.
Stop inbreuken voordat ze beginnen
Deze real-world voorbeelden laten zien hoe kwetsbaarheden kunnen escaleren in ernstige inbreuken wanneer ze niet worden aangevinkt. Aanvallers wachten niet – ze zijn altijd op zoek naar nieuwe toegangspunten. De eerste stap om vooruit te blijven? Weten wat aanvallers toegang hebben van internet – inclusief activa waarvan je misschien niet eens weet dat ze bestaan. Indringer ontdekt continu deze onbekenden, zoals subdomeinen, logins en API’s, en scant ze op blootstellingen die andere oplossingen missen.
Van toepassingen tot cloudinfrastructuur, zoek en beveilig het allemaal in één krachtig platform met indringer. Meer informatie of begin met scannen met een gratis proefperiode van 14 dagen.
