تقرير الثغرة الأمنية CVE-2023-49339: نظام Banner من Ellucian

مقدمة

توثق هذه الوثيقة ثغرة أمنية حرجة تم اكتشافها في نظام Banner من Ellucian، وتحديدًا في الإصدار 9.17 والإصدارات الأقدم. تم تحديد الثغرة في الأنظمة المستخدمة من قبل جامعات مختلفة في المملكة العربية السعودية، مما قد يعرض بيانات الطلاب الحساسة للخطر.

تفاصيل الثغرة

• النوع: مرجع كائن غير مباشر غير آمن (IDOR)
• نقطة النهاية المتأثرة: /StudentSelfService/ssb/studentCard/retrieveData
• المعامل المعني: bannerId
• الأثر: كشف غير مصرح به لبيانات الطلاب الحساسة، بما في ذلك المعرفات الشخصية والسجلات الأكاديمية ومعلومات الاتصال.

خطوات إعادة الإنتاج

1. سجّل الدخول إلى نظام Banner باستخدام بيانات اعتماد مستخدم شرعية.
2. انتقل إلى نقطة نهاية URL التي تسترجع معلومات بطاقة الطالب.
3. عدّل معامل bannerId في عنوان URL ليتوافق مع معرف طالب آخر.
4. لاحظ أن النظام يعرض معلومات لمعرّف المعدّل، متجاوزًا فحوصات التفويض اللازمة.