Los investigadores de ciberseguridad han revelado detalles de una vulnerabilidad de robo de cuentas que ya ha sido corregida y que afecta a un popular servicio de viajes en línea de alquiler de hoteles y coches.
"Al explotar esta falla, los atacantes pueden obtener acceso no autorizado a la cuenta de cualquier usuario dentro del sistema, lo que les permite hacerse pasar por la víctima y realizar una serie de acciones en su nombre, incluida la reserva de hoteles y alquileres de coches utilizando los puntos de fidelidad de la aerolínea de la víctima, la cancelación o edición de la información de la reserva y más", dijo la firma de seguridad API Salt Labs en un informe compartido con The Hacker News.
La explotación exitosa de la vulnerabilidad podría haber puesto en riesgo a millones de usuarios de aerolíneas en línea, agregó. El nombre de la empresa no fue revelado, pero dijo que el servicio está integrado en "docenas de servicios en línea de aerolíneas comerciales" y permite a los usuarios agregar reservas de hotel a su itinerario de aerolínea.
En pocas palabras, la falla se puede utilizar como arma de manera trivial enviando un enlace especialmente diseñado que se puede propagar a través de canales de distribución estándar, como correo electrónico, mensajes de texto o sitios web controlados por el atacante. Hacer clic en el enlace es suficiente para que el actor de la amenaza secuestre el control de la cuenta de la víctima tan pronto como se complete el proceso de inicio de sesión.
Los sitios que integran el servicio de reserva de alquiler tienen la opción de iniciar sesión en este último utilizando las credenciales asociadas con el proveedor de servicios de la aerolínea, momento en el que la plataforma de alquiler genera un enlace y redirige al usuario nuevamente al sitio web de la aerolínea para completar la autenticación a través de OAuth.
Una vez que el inicio de sesión se realiza correctamente, los usuarios son dirigidos a un sitio web que se adhiere al formato "<rental-service>.<airlineprovider>.sec", desde donde pueden usar sus puntos de fidelidad de la aerolínea para reservar hoteles y alquileres de automóviles.
El método de ataque ideado por Salt Labs implica redirigir la respuesta de autenticación del sitio de la aerolínea, que incluye el token de sesión del usuario, a un sitio bajo el control del atacante manipulando un parámetro "tr_returnUrl", lo que les permite efectivamente acceder a la cuenta de la víctima de manera no autorizada, incluida su información personal.
"Dado que el enlace manipulado utiliza un dominio de cliente legítimo (y la manipulación se produce solo a nivel de parámetro en lugar de a nivel de dominio), esto hace que el ataque sea difícil de detectar mediante la inspección de dominio estándar o los métodos de lista negra o lista blanca", dijo el investigador de seguridad Amit Elbirt.
Salt Labs ha descrito las interacciones de servicio a servicio como un vector lucrativo para los ataques a la cadena de suministro de API, en los que un adversario apunta al eslabón más débil del ecosistema para entrar en los sistemas y robar datos privados de los clientes.
"Más allá de la mera exposición de datos, los atacantes pueden realizar acciones en nombre del usuario, como crear pedidos o modificar los detalles de la cuenta", agregó Elbirt. "Este riesgo crítico resalta las vulnerabilidades en las integraciones de terceros y la importancia de los protocolos de seguridad estrictos para proteger a los usuarios del acceso y la manipulación no autorizados de las cuentas".
Fuente: thehackernews