(IndicoのBOLA脆弱性を発見し、報告しました。)
Indico v3.2.9 の Broken Object Level Authorization (BOLA) 脆弱性により、攻撃者はAPIリクエストを操作して機密のユーザー情報にアクセスできます。
FOFA : title="Indico" || header="Indico"
Google Dork : intitle:"Indico" inurl:"/event"
/api/principalsPOST /api/principals HTTP/2
Content-Type: application/json
{
"values": ["User:2301"]
}
User値を変更することで（例: User:2302）、攻撃者は別のユーザーのデータにアクセスできます。 再現手順: IndicoのWebサイトに登録します。 「Create Event」セクションに移動し、Burp Suiteを使用してPOSTリクエストをキャプチャします。 valuesパラメータを別のユーザーIDに変更します。 認可されていないデータが返されることを確認します。
🔥 影響 この脆弱性により、他のユーザーの機密情報が露出する可能性があります。 認可の境界を破壊し、潜在的なデータ漏洩につながります。
⚙️ 影響を受けるバージョン Indico v3.2.9 to v3.3.2
🔧 修正方法は? [CVE-2024-50633] の場合
最新バージョンへの更新: Indicoインスタンスが、この脆弱性が修正された最新のパッチ適用バージョンに更新されていることを確認してください。更新については、Indicoの公式リリースを確認してください。
機密エンドポイントへのアクセス制限:
/api/principals などのAPIエンドポイントに厳格なアクセス制御を適用し、認可されたユーザーのみが機密情報にアクセスできるようにします。ロールベースのアクセス制御（RBAC）メカニズムを使用してください。
入力検証の実装: すべてのAPIリクエストにおいて、ユーザーが提供する入力の検証とサニタイズを行い、不正アクセスやデータの操作を防止します。
ログの監視と監査:
/api/principals への異常なAPIリクエストや不正アクセスの試みがないか、サーバーログを定期的に監視してください。これにより、悪用の試みを特定できます。
Webアプリケーションファイアウォール（WAF）の使用: WAFを導入すると、悪意のあるリクエストを検出してブロックすることで、悪用の試みに対する追加の保護層を提供できます。
🕵️♂️ 報告者 Çetin BİNİCİ