Pemerintah India mengatakan telah menangani kerentanan kritis dalam layanan dompet dokumen amannya Digilocker yang bisa berpotensi membiarkan penyerang jarak jauh memintas sandi satu kali seluler (OTP) seluler dan masuk sebagai pengguna lain.
Ditemukan secara terpisah oleh dua peneliti independen bug bounty, Mohesh Mohan dan Ashish Gahlot , kerentanan tersebut dapat dengan mudah dieksploitasi untuk mengakses dokumen sensitif yang diunggah secara tidak sah oleh pengguna yang ditargetkan pada platform yang dioperasikan pemerintah.
"Fungsi OTP tidak memiliki otorisasi yang memungkinkan untuk melakukan validasi OTP dengan mengirimkan rincian pengguna yang valid dan kemudian memanipulasi aliran untuk masuk sebagai pengguna yang sama sekali berbeda," kata Mohesh Mohan dalam pengungkapan bersama dengan The Hacker News.
Dengan lebih dari 38 juta pengguna terdaftar, Digilocker adalah repositori berbasis cloud yang bertindak sebagai platform digital untuk memfasilitasi pemrosesan dokumen secara online dan pengiriman lebih cepat berbagai layanan dari pemerintah ke warga negara. Itu terkait dengan nomor ponsel pengguna dan ID Aadhar — nomor identitas unik (UID) yang dikeluarkan untuk setiap penduduk India.
Menurut Mohan, semua yang perlu diketahui penyerang adalah ID Aadhaar korban atau nomor ponsel atau nama pengguna yang ditautkan untuk secara tidak sah mengakses akun Digilocker yang ditargetkan, mendorong layanan untuk mengirim OTP dan kemudian memanfaatkan cacat untuk mem-bypass proses masuk.
Perlu dicatat bahwa versi aplikasi seluler Digilocker juga dilengkapi dengan PIN 4 digit untuk lapisan keamanan tambahan. Tetapi para peneliti mengatakan itu mungkin untuk memodifikasi panggilan API untuk mengotentikasi PIN dengan mengaitkan PIN ke pengguna lain (diidentifikasi dengan UUID versi-5 ) dan berhasil masuk sebagai korban.
Ini berarti "Anda dapat melakukan OTP SMS [verifikasi] sebagai satu pengguna dan mengirimkan pin dari pengguna kedua, dan akhirnya, Anda akhirnya akan masuk sebagai pengguna kedua," kata Mohan.
Terlebih lagi, kurangnya otorisasi untuk titik akhir API yang digunakan untuk mengatur PIN rahasia secara efektif menyiratkan API dapat dieksploitasi untuk mengatur ulang PIN yang ditautkan ke pengguna acak menggunakan UUID individu.
"Tidak ada informasi terkait sesi pada permintaan POST, jadi tidak terikat pada pengguna mana pun," tambah Mohan.
Selain masalah yang disebutkan di atas, panggilan API dari aplikasi seluler dijamin oleh otentikasi dasar yang dapat diatasi dengan menghapus flag header "is_encrypted: 1." Aplikasi ini juga ditemukan menerapkan mekanisme pinning SSL yang lemah, membuat mereka rentan terhadap bypass menggunakan alat seperti Frida .
Setelah cacat dilaporkan ke CERT-In pada 10 Mei oleh Mohan dan ke DigiLocker pada 16 Mei oleh Ashish, agensi cyber mengatakan masalah itu diperbaiki pada 28 Mei.
"Sifat kerentanannya adalah sedemikian sehingga akun DigiLocker individu berpotensi dapat dikompromikan jika penyerang tahu nama pengguna untuk akun tertentu itu, " kata Digilocker dalam sebuah tweet minggu lalu mengakui kelemahannya. "Itu bukan kerentanan yang bisa membuat siapa pun mendapatkan akses ke akun DigiLocker dari siapa pun yang nama pengguna dan detail lainnya tidak diketahui."
"Setelah dianalisis, diketahui bahwa kerentanan ini telah merayapi kode ketika beberapa fitur baru ditambahkan baru-baru ini. Kerentanan tersebut ditambal berdasarkan prioritas oleh tim teknis dalam satu hari setelah mendapatkan peringatan dari CERT-In. Ini bukan serangan terhadap infrastruktur, dan tidak ada data, database, penyimpanan, atau enkripsi yang dikompromikan, "tambah tim.
Comments
Post a Comment