Honda'nın elektrikli ekipmanlar için e-ticaret platformu, Marine, Lawn & Garden, herhangi bir hesap için şifre sıfırlamasına izin veren API kusurları nedeniyle herkes tarafından yetkisiz erişime karşı savunmasızdı.
Honda, Japon otomobil, motosiklet ve güç ekipmanı üreticisidir. Bu durumda, sadece ikinci bölüm etkilenir, bu nedenle Honda otomobilleri veya motosiklet sahipleri etkilenmez.
Honda'nın sistemlerindeki güvenlik açığı, Toyota'nın tedarikçi portalını birkaç ay önce ihlal eden ve benzer güvenlik açıklarından yararlanan güvenlik araştırmacısı Eaton Zveare tarafından keşfedildi.
Honda için Eaton Works, değerli hesapların şifresini sıfırlamak ve daha sonra firmanın ağında sınırsız yönetici seviyesi veri erişiminin tadını çıkarmak için bir şifre sıfırlama API'sından yararlandı.
Araştırmacı, "Kırık/eksik erişim kontrolleri, bir test hesabı olarak oturum açmış olsa bile platformdaki tüm verilere erişmeyi mümkün kıldı."
Sonuç olarak, aşağıdaki bilgiler güvenlik araştırmacısına ve muhtemelen aynı güvenlik açığından yararlanan tehdit aktörlerine maruz kaldı:
Yukarıdaki veriler kimlik avı kampanyaları, sosyal mühendislik saldırıları veya hacker forumlarında ve karanlık web pazarlarında satılmak için kullanılabilir.
Ayrıca, bayi sitelerine erişebilen saldırganlar, kredi kartı skimmer'leri veya diğer kötü amaçlı JavaScript snippet'lerini dikebilir.
Zveare, API kusurunun Honda'nın "PowerDealer.honda.com" alt alanlarını kayıtlı satıcılara/bayilere atayan e-ticaret platformunda yattığını açıklıyor.
Araştırmacı, Honda'nın sitelerinden birinde, Power Equipment Tech Express (Pete) 'de API'yi sıfırlamanın, jeton veya önceki şifre olmadan işlenmiş sıfırlama isteklerini yalnızca geçerli bir e -posta gerektirdiğini buldu.
Bu güvenlik açığı e-ticaret alt alanları giriş portalında mevcut olmasa da, Pete sitesinde değiştirilen kimlik bilgileri hala onlar üzerinde çalışacaktır, böylece herkes bu basit saldırı yoluyla dahili bayilik verilerine erişebilir.
Tek eksik parça, araştırmacının bir test hesabı kullanarak bayi kontrol panelini demo eden bir YouTube videosundan satın aldığı bir satıcıya ait geçerli bir e -posta adresine sahip olmaktır.
Bir sonraki adım, test hesabının yanı sıra gerçek bayilerden gelen bilgilere erişmekti. Ancak, operasyonlarını bozmadan ve yüzlerce hesabın şifrelerini sıfırlamak zorunda kalmadan bunu yapmak tercih edilir.
Araştırmacının bulduğu çözüm, kullanıcı kimliklerinin platformda sıralı atanması ve erişim korumalarının eksikliği olan ikinci bir güvenlik açığından yararlanmaktı.
Bu, başka bir sonuç olmayana kadar kullanıcı kimliğini bir tane artırarak tüm Honda bayilerinin veri panellerine keyfi olarak erişmeyi mümkün kıldı.
"Sadece bu kimliği artırarak her satıcının verilerine erişebileceğim. Temel JavaScript kodu bu kimliği alıyor ve API çağrılarında kullanıyor. Verileri almak ve sayfaya görüntülemek için. Neyse ki, bu keşif artık parolaları sıfırlama ihtiyacını gösterdi. . " dedi Zvaere.
Yukarıdaki kusurun Honda'nın kayıtlı bayileri tarafından diğer satıcıların panellerine erişmek için kullanılabileceğini ve uzatma yoluyla siparişleri, müşteri ayrıntıları vb.
Saldırının son adımı, firmanın e-ticaret platformunun merkezi kontrol noktası olan Honda'nın yönetici paneline erişmekti.
Araştırmacı, bir yönetici gibi görünmesi için bir HTTP yanıtı değiştirerek ona erişti ve ona Honda bayi siteleri platformuna sınırsız erişim sağladı.
Yukarıdakiler 16 Mart 2023'te Honda'ya bildirildi ve 3 Nisan 2023'e kadar Japon firması tüm sorunların giderildiğini doğruladı.
Hata ödül programı bulunmayan Honda, Zveare'i sorumlu raporları için ödüllendirmedi, bu da Toyota davasında olduğu gibi aynı sonuç.
Bilgisayar korsanları POC istismarını piyasaya sürdükten sonra WordPress eklentisi kusurunu hedef
WordPress Custom Field eklentisi, XSS saldırılarına 1m'den fazla siteyi ortaya çıkarır
Prestashop, herhangi bir arka uç kullanıcının veritabanlarını silmesini sağlayan hatayı düzeltir
Hackerlar Elementor Pro WordPress eklentisinde BUGU BUGU
Manchester Üniversitesi, hackerların 'muhtemel' siber saldırıda verileri çaldığını söylüyor
Kaynak: Bleeping Computer