rrespxwnss/cve-2026-36374Demonstriert eine Schwachstelle zur unauthentifizierten Aufzählung in einem öffentlichen Zertifikatsabfrage-Endpunkt, die persönliche Daten wie CPF und RG offenlegt. Enthält einen PoC unter Verwendung von Google Dorks und LinkedIn zur Erfassung von Identifikatoren, mit Details zu Auswirkungen und Gegenmaßnahmen.
Ein öffentlicher Endpunkt wurde identifiziert, der die Zertifikatssuche über eine vorhersehbare Kennung (Zertifikatscode) ohne jeglichen Authentifizierungs- oder Autorisierungsmechanismus ermöglicht.
Durch das Aufzählen dieser Kennung kann ein Angreifer auf personenbezogene Daten Dritter zugreifen, einschließlich vollständigem Namen, CPF (brasilianische Steueridentifikationsnummer für natürliche Personen), RG (brasilianische Personalausweisnummer), Geburtsdatum und Geburtsort.
Es wird außerdem beobachtet, dass selbst wenn Zertifikatsinhaber ihre Diplome mit teilweise unkenntlich gemachten personenbezogenen Daten öffentlich teilen (z. B. auf beruflichen Netzwerken oder anderen Plattformen), die Zertifikatskennung oft sichtbar bleibt. Über diese Kennung ist es möglich, den Endpunkt direkt abzufragen und die vollständigen Daten zu erhalten, wodurch der in der Oberfläche implementierte Unkenntlichmachungsmechanismus vollständig umgangen wird.
https://www.fiap.com.br/consultadocumento
8-stellige Kennung
Für Proof-of-Concept-Zwecke (PoC) wurden mithilfe von Google-Dorks-Techniken Suchen durchgeführt, um öffentlich verfügbare Bilder von Zertifikaten zu finden. Darüber hinaus wurden Beispiele auf LinkedIn-Profilen identifiziert, in denen Zertifikatsinhaber ihre Zertifikate teilten.
Aus diesen öffentlichen Quellen war es möglich, die Kennungen der sichtbaren Zertifikate zu extrahieren und daraus eine Liste gültiger Codes zusammenzustellen. Mithilfe dieser Kennungen am verwundbaren Endpunkt war es möglich, auf die vollständigen Daten zuzugreifen, die mit jedem Zertifikat verbunden sind, was die Durchführbarkeit einer Ausnutzung in großem Maßstab demonstriert.
Es ist anzumerken, dass die verwendete Technik ausschließlich öffentliche Informationen und passive Aufklärung nutzte, was zeigt, dass ein Angreifer keinen privilegierten Zugriff benötigt, um die Schwachstelle auszunutzen.
Siehe das folgende Beispiel.
Die identifizierte Schwachstelle ermöglicht unbefugten Zugriff auf hochsensible personenbezogene Daten, einschließlich CPF (brasilianische Steueridentifikationsnummer), RG (brasilianische nationale Identifikationsnummer), vollständigem Namen, Geburtsdatum und Geburtsort, ohne dass eine Authentifizierung erforderlich ist. Die Möglichkeit, die Zertifikatskennung aufzuzählen, in Verbindung mit der Sammlung dieser Kennungen aus öffentlichen Quellen, ermöglicht die Extraktion von Informationen in großem Maßstab, wodurch die Angriffsfläche erheblich erweitert wird.
Dieses Szenario ermöglicht den Missbrauch von Daten für Betrug, Identitätsdiebstahl und hochgradig zielgerichtete Social-Engineering-Angriffe, da die offengelegten Informationen im brasilianischen Kontext häufig als Validierungsmechanismus verwendet werden. Darüber hinaus könnte der Fehler erhebliche regulatorische Auswirkungen haben, insbesondere im Kontext des Allgemeinen Datenschutzgesetzes (LGPD), angesichts der Offenlegung personenbezogener Daten ohne angemessene Rechtsgrundlage oder Zugriffskontrolle.
Schließlich ist hervorzuheben, dass die Ausnutzung keinerlei Privilegien oder Authentifizierung erfordert und von externen Akteuren automatisiert durchgeführt werden kann, was die Kritikalität der Schwachstelle erheblich erhöht.
Um das Risiko der Aufzählung zu mindern, wird empfohlen, die Zertifikatskennung durch einen unvorhersehbaren Wert zu ersetzen, wie z. B. ein sicher generiertes Token (z. B. hashbasiert wie MD5 oder vorzugsweise robustere Algorithmen mit einer Zufallskomponente), um sicherzustellen, dass andere gültige Zertifikate nicht abgeleitet oder aufgezählt werden können.
Darüber hinaus wird empfohlen, dass öffentliche Dokumente sensible Daten ordnungsgemäß unkenntlich machen und dass dieselbe Logik auch im Backend angewendet wird, um zu verhindern, dass die API vollständige Informationen zurückgibt. Auf diese Weise wird der Zugriff selbst dann, wenn der Link öffentlich geteilt wird, auf eine sichere Version des Zertifikats beschränkt, wodurch die Privatsphäre des Inhabers geschützt wird.
Schließlich ist es wichtig, ergänzende Schutzmechanismen zu implementieren, wie z. B. Ratenbegrenzung, Überwachung verdächtiger Zugriffe und, falls zutreffend, die Verwendung von Verifizierungslinks mit zeitlich begrenzter Gültigkeit, wodurch das Risiko einer automatisierten Ausnutzung weiter reduziert wird.
