1
• Исследователь Алекс Шапиро, который ранее взломал API системы бронирования авиакомпании Avelo, обнаружил критическую уязвимость в Filevine - юридической AI-платформе стоимостью более $1 млрд. API сервиса отдавал полный админский токен к файловому хранилищу клиента без какой-либо проверки подлинности запроса.
• Алекс решил посмотреть, как Filevine обращается с данными. Демо-доступа на сайте не было, но через перебор поддоменов он нашел страницу клиента - юрфирмы Margolis, - которая не загружалась корректно. Покопавшись в минифицированном JavaScript, исследователь обнаружил эндпоинт AWS API Gateway. Простой POST-запрос без токена авторизации вернул в ответе полноценный админский ключ к корпоративному файловому хранилищу фирмы.
• Поиск по слову confidential вернул почти 100 000 результатов. Потенциально были доступны все документы юрфирмы: данные, материалы под судебными ордерами, внутренние служебные записки, зарплатные ведомости и многое другое. После получения доступа и анали документов Шапиро прекратил тестирование и связался с Filevine.
• Компания отреагировала быстро: уязвимость обнаружена 27 октября, подтверждена 4 ноября, устранена к 21 ноября. Алекс отмечает, что это хороший пример responsible disclosure - команда Filevine признала серьезность проблемы, оперативно ее закрыла и разрешила публикацию. Такие вот уязвимости у компаний стоимостью более 1 млрд. баксов...
➡️ Источник.
➡️ Обсуждение.
#Новости