Facebook: Peneliti mengambil $ 31rb bug bug untuk menandai kerentanan SSRF

     Siapa bilang Anda harus memulai dari yang kecil?                                                                                                                                                                                                                             Seorang peneliti keamanan di India telah menjaring $ 31.500 dalam kemenangan hadiah bug setelah menemukan beberapa kelemahan keamanan di Facebook dan portal intelijen bisnis pihak ketiga.

    Dalam sebuah posting Medium yang diterbitkan kemarin (31 Mei), Bipin Jitiya melakukan penyelaman mendalam dalam pembayaran hadiah bug pertamanya untuk menunjukkan bagaimana para peneliti dapat menggabungkan "tinjauan kode yang aman, enumerasi, dan pengetahuan penulisan skrip untuk menemukan kerentanan kritis".

    Penguji pena dan pengembang aplikasi, yang mendapatkan tiga penghargaan untuk dua dari empat penemuan, mendapatkan $ 30.000 kekalahan untuk SSRF buta internal dalam kode sumber titik akhir yang dapat diakses publik, dibangun menggunakan alat dari MicroStrategy, yang melakukan pengumpulan data kustom dan pembuatan konten .

MicroStrategy, yang telah bermitra dengan Facebook dalam proyek analisis data selama beberapa tahun, membayar $ 500 lagi untuk kesalahan yang sama setelah Jitiya juga menemukan kerentanan yang ada di portal demo platform.

   Reaksi berantai ...!!!                                                                                                 

Sementara $ 30.000 tidak bisa diendus, temuan lain yang lebih menarik tidak mendapatpembayaran dari raksasa media sosial.

     Jitiya mengatakan kepada The Daily Swig bahwa SSRF buta lain yang sebelumnya ia temukan dalam kode sumber SDK web MicroStrategy, yang memungkinkan penyerang untuk mengajukan permintaan GET ke sistem internal dan eksternal, "sendirian memiliki dampak menengah".                                                                                                                                                                                                    Ketika "dirantai oleh kebocoran informasi" yang kemudian dia temukan, bagaimanapun, "dampaknya sangat meningkat", tambahnya.

Jitiya, seorang analis keamanan informasi di Net Square Solutions, menemukan bahwa penyingkat URL yang digunakan secara internal oleh Facebook dan secara eksternal oleh pengguna dapat membocorkan informasi sensitif tentang server.

    Ini termasuk “informasi tentang jalur internal ke folder log, jalur file lain, kueri sistem internal yang menggunakan pengambilan data, alamat IP internal, ID internal, informasi terkait konfigurasi, dokumen pribadi, dll tanpa otentikasi .

   "Dengan mengeksploitasi kerentanan ini, penyerang dapat menghitung enumerasi URL internal yang valid yang ada dalam sistem."                                                                                            Ini dapat digunakan untuk meluncurkan serangan jalur dan serangan pemalsuan permintaan sisi-server (SSRF), katanya dalam posting Medium.

          "Dalam kasus terburuk, jika penyerang menemukan URL internal yang digunakan untuk memperbarui atau menghapus file internal server, maka penyerang dapat menyalahgunakan informasi itu dengan merantai dengan SSRF buta untuk mengeksekusi URL ini," katanya kepada The Daily Swig .

            

"Ada juga kemungkinan menghapus file sensitif dalam kasus yang sama, seperti file log, file konfigurasi ... atau bahkan dalam kasus terburuk beberapa file controller seperti login.php, profile.php dll."

        

     

Iman buta....!!!!  

    Meskipun Jitiya memperhatikan bahwa bug SSRF buta telah diatasi, Facebook mengatakan ini tidak menanggapi laporannya, dan "bisa dengan mudah menjadi efek samping dari fitur yang baru ditambahkan, perbaikan bug yang tidak terkait, atau perubahan infrastruktur / konfigurasi" .

      Facebook menolak untuk membayar "Dengan tidak adanya POC yang berfungsi jelas menunjukkan SSRF internal".

   Sebaliknya, pembayaran $ 30.000 disetujui karena "dimungkinkan untuk melakukan SSRF buta ke titik akhir internal Facebook".

  Jitiya mengatakan kepada The Daily Swig bahwa ia juga "mencoba mengubah SSRF ke RCE menggunakan pembungkus gopher, tetapi sayangnya pembungkus gopher dinonaktifkan di server Facebook."

      Hadiah $ 1.000 yang dikeluarkan melalui program Bugcrowd Facebook muncul dari penghitungan infrastruktur internal Facebook Jitiya di balik lingkungan yang dihadang, setelah menemukan bahwa tugas 'shortURL' gagal untuk memeriksa sesi otentikasi yang valid, memberikan jalan bagi penyerang yang tidak diauthentikasi.

Facebook awalnya "tidak percaya itu adalah kerentanan keamanan", tetapi mengalah setelah peneliti menguraikan skenario serangan yang dimungkinkan oleh cacat, termasuk serangan phishing dan mencerminkan cross-site scripting (XSS).