©
P-Reliz.ru - агрегатор пресс-релизов

$650 за баг: уязвимость в аутентификации дорого стоила компании

Эхтешам Уль Хак, аналитик по кибербезопасности из Пакистана, обнаружил уязвимость в веб-приложении, позволяющую обойти аутентификацию на основе одноразовых паролей (OTP), и заработал на этом $650. Михаил Спицын, киберэксперт лаборатории стратегического развития продуктов кибербезопасности компании «Газинформсервис», подчёркивает, что этот случай демонстрирует необходимость комплексной защиты, особенно при использовании OTP.

В ходе тестирования на проникновение для частного клиента Хак выявил несколько уязвимостей низкой и средней степени риска, а также обнаружил потенциальную проблему с захватом субдомена (вне области тестирования). Основное внимание он уделил механизму OTP-аутентификации, используя Burp Suite для перехвата и анализа запросов.

«Вводя неверный OTP, Хак наблюдал стандартный ответ сервера об ошибке (400 Bad Request). Затем он подменил этот ответ на успешный ответ (200 OK) из предыдущей успешной попытки входа. Эта манипуляция позволила ему обойти проверку OTP и получить доступ к системе без корректного кода. После документирования методики эксперт отправил подробный отчёт команде разработчиков и вскоре получил вознаграждение в размере $650», — пояснил Михаил Спицын, — «Фаззинг неверных значений OTP позволил обнаружить возможность подмены ответа сервера, что дало полный обход механизма одноразовой аутентификации».

Для защиты корпоративных сетей от подобных атак киберэксперт компании «Газинформсервис» рекомендует комплексный подход: «Чтобы в корпоративной сети исключить возможность обхода проверки OTP через манипуляцию ответом, нужно внедрить комплекс мер на уровне приложения, инфраструктуры и процессов. Обязательно весь трафик между клиентом и сервером должен идти по https, и нужно внедрить защиту от фаззинга: блокировку после множества неудачных входов с одного IP или учётной записи, а также вводить дополнительные проверки, в том числе 2FA. Рекомендую использовать современную платформу мониторинга подозрительной активности с расширенными возможностями. Такой платформой является решение Ankey ASAP с встроенными модулями поведенческой аналитики, которое отправляет уведомления об обнаруженных аномалиях в корпоративной сети, после чего оператор смог бы исключить возможность "успешной" подмены ответа сервером, разорвав цепочку атаки».

ООО «Газинформсервис» — отечественный разработчик программных и программно-аппаратных средств обеспечения информационной безопасности и комплексной инженерно-технической охраны. Компания специализируется на создании систем обеспечения информационной безопасности объектов и ИБ-систем для корпораций энергетической и транспортной отраслей, органов государственной власти, промышленных предприятий, а также учреждений финансового сектора и телекоммуникационных компаний.

P-Reliz.ru - аггрегатор пресс-релизов

Другие пресс-релизы ООО "Газинформсервис"


Киберэксперт о возвращении Windows: новые вызовы кибербезопасности

В российском корпоративном секторе после новости о возвращении операционной системы Windows ряд организаций принимает решение вернуться к привычной платформе. Как заключает киберэксперт, менеджер продукта «Блокхост-Сеть 4» компании «Газинформсервис» Константин Хитрово, это создаёт новые вызовы для обеспечения информационной безопасности.


Искусственный интеллект: технологии меняются, ошибки — нет

Недавняя публикация API-ключа к популярному сервису искусственного интеллекта на платформе GitHub подчёркивает нарастающую угрозу утечки конфиденциальной информации в связи с повсеместным использованием ИИ.


6 лет в тени бэкдоров: как хакеры манипулируют заказами и крадут деньги

Исследователи обнаружили бэкдоры в старых версиях популярной платформы электронной коммерции Magento. Уязвимости, датируемые 2019 годом, позволяли злоумышленникам получать полный контроль над скомпрометированными сайтами.


СУБД Jatoba и Indeed PAM усилят безопасность привилегированного доступа компаний

Компании «Газинформсервис» и «Индид» объявили об успешном завершении тестирования на совместимость системы управления базами данных Jatoba версии 6.4.1 и решения для управления привилегированным доступом Indeed Privileged Access Manager (Indeed PAM) версии 3.0. Интеграция этих продуктов обеспечивает организациям комплексную защиту критически важных данных, позволяя контролировать доступ привилегированных пользователей к базам данных и минимизировать риски несанкционированного доступа..


Киберэксперт: уязвимость WinZip может «обнулить» безопасность неподготовленных пользователей

В популярном архиваторе WinZip обнаружена критическая уязвимость «нулевого дня», позволяющая хакерам обходить защитный механизм Mark-of-the-Web (MotW) и незаметно внедрять вредоносный код. Александр Михайлов, руководитель GSOC компании «Газинформсервис», напоминает — даже к самым сложным 0-day-атакам можно подготовиться заранее.


Кража данных и простои: эксперт Спицын о новой волне кибератак Billbug

Китайская хакерская группировка Billbug (Lotus Blossom) развернула новую волну кибершпионажа против крупных организаций в Юго-Восточной Азии. Злоумышленники используют арсенал сложного вредоносного ПО, включая бэкдоры (Sagerunex), средства кражи учетных данных (ChromeKatz, CredentialKatz) и специализированные инструменты удаленного доступа.


Кража данных и простои: эксперт Спицын о новой волне кибератак Billbug

Китайская хакерская группировка Billbug (Lotus Blossom) развернула новую волну кибершпионажа против крупных организаций в Юго-Восточной Азии. Злоумышленники используют арсенал сложного вредоносного ПО, включая бэкдоры (Sagerunex), средства кражи учетных данных (ChromeKatz, CredentialKatz) и специализированные инструменты удаленного доступа.