Se descubrieron más de 1.000 instancias empresariales de ServiceNow mal configuradas que exponían artículos de la base de conocimientos (KB) que contenían información confidencial de la empresa a usuarios externos y posibles actores de amenazas.

La información expuesta incluye información personal identificable (PII), detalles del sistema interno, credenciales de usuario, tokens de acceso para sistemas de producción en vivo y otra información esencial dependiendo del tema de la Base de Conocimientos.

Aaron Costello, jefe de investigación de seguridad SaaS en AppOmni, encontró más de mil instancias en línea de ServiceNow que exponen involuntariamente información de la empresa debido a problemas de configuración.

Esto sigue siendo un problema importante a pesar de las actualizaciones de ServiceNow en 2023 dirigidas explícitamente a mejorar las listas de control de acceso (ACL), pero que no se aplicaban a las KB.

Artículos KB expuestos

ServiceNow es una plataforma de software basada en la nube que las organizaciones utilizan para gestionar flujos de trabajo digitales en varios departamentos y procesos.

Es una solución completa que incorpora la gestión de servicios y operaciones de TI, tareas de RR.HH., gestión del servicio de atención al cliente, integración de herramientas de seguridad y una base de conocimientos.

La función de base de conocimientos actúa como un repositorio de artículos donde las organizaciones pueden compartir guías prácticas, preguntas frecuentes y otros procedimientos internos para los usuarios autorizados a verlos. Sin embargo, como muchos de estos artículos no están destinados a ser vistos públicamente, pueden contener información sensible sobre una organización.

Tras un informe de Costello de 2023 sobre la exposición de datos de ServiceNow, la empresa lanzó una actualización de seguridad que introducía nuevas ACL para evitar el acceso no autenticado a los datos de los clientes. Sin embargo, AppOmni dice que la mayoría de las KBs de ServiceNow utilizan el sistema de permisos User Criteria en lugar de ACLs, lo que hace que la actualización sea menos útil.

Además, algunos widgets públicos que exponen información de clientes no recibieron la actualización de ACL 2023 y siguen permitiendo el acceso no autenticado.

Debido a esto, Costello dice que los controles de acceso mal configurados en los widgets de ServiceNow de cara al público todavía se pueden utilizar para consultar datos en las KB sin necesidad de autenticación.

«Estas instancias fueron consideradas por las organizaciones afectadas como sensibles por naturaleza, como PII, detalles del sistema interno y credenciales activas / tokens a sistemas de producción en vivo», dice AppOmni en un nuevo informe publicado hoy.

Utilizando herramientas como Burp Suite, un actor malicioso puede enviar un gran número de peticiones HTTP a un endpoint vulnerable para forzar el número de artículo KB.

Los investigadores explican que los ID de los artículos de la base de conocimientos se incrementan en el formato KBXXXXXXX, por lo que una amenaza puede forzar una instancia de ServiceNow incrementando el número de KB a partir de KB0000001 hasta que encuentre uno que esté expuesto involuntariamente.

AppOmni desarrolló un ataque de prueba de concepto para ilustrar cómo un actor externo puede acceder a una instancia de ServiceNow sin autenticación, capturar un token para utilizarlo en peticiones HTTP, consultar el widget público para recuperar artículos KB y forzar los ID de todos los artículos alojados.

Ejemplo de solicitud (izquierda) e interceptación de tokens (derecha)

Fuente: AppOmni

Bloqueo de accesos no autorizados

AppOmni sugiere que los administradores de SecureNow protejan los artículos de la KB estableciendo los 'Criterios de usuario' apropiados (Puede leer/No puede leer), bloqueando a todos los usuarios no autorizados.

Criterios como «Cualquier usuario» o «Usuario invitado» conducen a configuraciones que no protegen los artículos de accesos externos arbitrarios.

Si el acceso público a las Bases de Conocimiento no es explícitamente necesario, los administradores deberían desactivarlo para evitar que los artículos sean accesibles en Internet.

Los investigadores también destacan propiedades de seguridad específicas que pueden proteger los datos de accesos no autorizados, incluso en el caso de configuraciones erróneas. Éstas son:

• glide.knowman.block_access_with_no_user_criteria (Verdadero): Garantiza que se deniegue automáticamente el acceso a los usuarios autenticados y no autenticados si no se establecen Criterios de usuario para un artículo de KB.
• glide.knowman.apply_article_read_criteria (Verdadero): Requiere que los usuarios tengan acceso explícito «Puede leer» a artículos individuales, incluso si tienen acceso «Puede contribuir» a toda la KB.
• glide.knowman.show_unpublished (Falso): Evita que los usuarios vean borradores o artículos no publicados, que pueden contener información sensible y no revisada.
• glide.knowman.section.view_roles.draft (Admin): Define una lista de roles que pueden ver artículos KB en estado borrador.
• glide.knowman.section.view_roles.review (Admin): Define una lista de roles que pueden ver artículos de la base de datos en estado de revisión.
• glide.knowman.section.view_roles.stagesAndRoles (Admin): Define una lista de roles que pueden ver artículos de la KB que se encuentran en un estado personalizado.

Por último, se recomienda activar las reglas preconfiguradas de ServiceNow (OOB) que añaden automáticamente a los usuarios invitados a la lista «No se puede leer» para las bases de datos recién creadas, lo que requiere que los administradores les den acceso específicamente cuando sea necesario.

Fuente: bleepingcomputer