الآلاف من مواقع Oracle NetSuite معرضة لخطر كشف معلومات العملاء
يحذر باحثو الأمن السيبراني من اكتشاف الآلاف من مواقع التجارة الإلكترونية Oracle NetSuite التي تواجه الخارج والتي تبين أنها عرضة لتسريب معلومات حساسة للعملاء.
“قد تسمح مشكلة محتملة في منصة SuiteCommerce التابعة لـ NetSuite للمهاجمين بالوصول إلى البيانات الحساسة بسبب ضوابط الوصول التي تم تكوينها بشكل خاطئ على أنواع السجلات المخصصة (CRTs)،” آرون كوستيلو من AppOmni قال.
تجدر الإشارة هنا إلى أن المشكلة ليست ضعفًا أمنيًا في منتج NetSuite، بل هي خطأ في تكوين العميل يمكن أن يؤدي إلى تسرب البيانات السرية. تتضمن المعلومات المكشوفة العناوين الكاملة وأرقام الهواتف المحمولة للعملاء المسجلين لمواقع التجارة الإلكترونية.
يستغل سيناريو الهجوم الذي تم تفصيله بواسطة AppOmni CRTs التي تستخدم عناصر تحكم الوصول على مستوى الجدول مع نوع الوصول “لا يوجد إذن مطلوب”، والذي يمنح المستخدمين غير المصادقين حق الوصول إلى البيانات من خلال الاستفادة من واجهات برمجة تطبيقات التسجيل والبحث الخاصة بـ NetSuite.
ومع ذلك، لكي ينجح هذا الهجوم، هناك عدد من المتطلبات الأساسية، وأهمها حاجة المهاجم إلى معرفة اسم CRTs المستخدمة.
للتخفيف من المخاطر، يوصى بأن يقوم مسؤولو الموقع بتشديد ضوابط الوصول على CRTs، وتعيين الحقول الحساسة إلى “لا شيء” للوصول العام، والنظر في جعل المواقع المتأثرة غير متصلة بالإنترنت مؤقتًا لمنع تعرض البيانات.
وقال كوستيلو: “قد يتضمن الحل الأسهل من وجهة نظر أمنية تغيير نوع الوصول لتعريف نوع السجل إما إلى “يتطلب إذن إدخالات سجل مخصص” أو “استخدام قائمة الأذونات”.
ويأتي هذا الكشف في الوقت الذي قامت فيه Cymulate بتفصيل طريقة لمعالجة عملية التحقق من صحة بيانات الاعتماد في Microsoft Entra ID (المعروف سابقًا باسم Azure Active Directory) والتحايل على المصادقة في البنى التحتية للهوية المختلطة، مما يسمح للمهاجمين بتسجيل الدخول بامتيازات عالية داخل المستأجر وإثبات الثبات.
ومع ذلك، يتطلب الهجوم أن يكون للخصم حق الوصول الإداري على خادم يستضيف وكيل المصادقة التمريرية (PTA)، وهي وحدة تسمح للمستخدمين بتسجيل الدخول إلى كل من التطبيقات المحلية والتطبيقات المستندة إلى السحابة باستخدام معرف Entra. تكمن جذور المشكلة في معرف Entra عند مزامنة مجالات محلية متعددة مع مستأجر Azure واحد.
“تنشأ هذه المشكلة عندما تتم إساءة التعامل مع طلبات المصادقة من قبل وكلاء المصادقة التمريرية (PTA) لنطاقات محلية مختلفة، مما يؤدي إلى وصول محتمل غير مصرح به،” هذا ما قاله الباحثان الأمنيان إيلان كالينداروف وإلعاد بيبر. قال.
“تعمل هذه الثغرة الأمنية على تحويل وكيل PTA بشكل فعال إلى وكيل مزدوج، مما يسمح للمهاجمين بتسجيل الدخول كأي مستخدم AD متزامن دون معرفة كلمة المرور الفعلية الخاصة بهم؛ ومن المحتمل أن يمنح هذا الوصول إلى مستخدم مسؤول عالمي إذا تم تعيين هذه الامتيازات.”
إرسال التعليق