La Honda ha lasciato i dati degli utenti scaricabili per una vulnerabilità nelle sue API

Redazione RHC : 12 Giugno 2023 18:28

La piattaforma di e-commerce di Honda per apparecchiature elettriche, motori fuoribordo e attrezzature da giardino è stata vulnerabile all’accesso non autorizzato. Di conseguenza, chiunque avrebbe potuto utilizzare un bug nell’API per reimpostare la password per qualsiasi account.

Si sottolinea che il problema non ha colpito i possessori di auto e moto Honda. Il problema è stato scoperto dal ricercatore di sicurezza Eaton Zveare, che qualche mese fa ha trovato bug simili sul portale dei fornitori di Toyota.

Lo specialista afferma che l‘API di reimpostazione della password ha permesso di reimpostare la password degli account e quindi ottenere un accesso illimitato ai dati a livello di amministratore.

La NIS2 è complessa da capire?
Non perdere tempo, segui l'anteprima gratuita del corso che stiamo preparando.Accedi quindi alla nostra Academy e segui l'anteprima del corso della durata di 30 minuti per comprendere i contenuti esclusivi che tratteremo nel corso.per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765 

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo

“I controlli di accesso mancanti consentivano l’accesso a tutti i dati sulla piattaforma, anche quando si accedeva come account di prova”, ha spiegato Zvir.

Il difetto nell’API era correlato alla piattaforma di e-commerce di Honda, che assegna sottodomini powerdealer.honda.com a rivenditori e rivenditori registrati, ha affermato. Un’API di reimpostazione della password su uno dei siti Honda, Power Equipment Tech Express (PETE), ha gestito le richieste di reimpostazione della password senza un token o una password precedente, richiedendo solo un indirizzo e-mail valido.

Sebbene la vulnerabilità non si manifestasse nel portale di accesso stesso, le credenziali passate attraverso PETE funzionavano ancora, quindi chiunque poteva accedere ai dati interni dei rivenditori.

Inoltre, il ricercatore ha appreso l’indirizzo e-mail valido del rivenditore da una registrazione video di un webinar su YouTube, che mostrava il pannello di controllo a disposizione dei rivenditori e un account di prova.

Sebbene ciò consentisse solo l’accesso a un account di prova, Zvir ha rilevato un’altra vulnerabilità che gli ha consentito di accedere ai dati di qualsiasi rivenditore semplicemente modificando il valore dell’ID nell’URL del pannello di amministrazione.

Di conseguenza, dopo aver studiato la piattaforma Honda e le sue carenze, l’esperto ha trovato le seguenti informazioni:

• 21.393 ordini cliente tra agosto 2016 e marzo 2023 (inclusi nome cliente, indirizzo, numero di telefono e articoli ordinati);
• 1.570 siti dealer (di cui 1.091 attivi), tutti modificabili;
• 3588 account utenti/rivenditori (comprensivi di nome e cognome, indirizzo e-mail), per ciascuno dei quali è stato possibile modificare la password;
• 1090 email rivenditore (contengono nome e cognome);
• 11.034 email clienti (contengono nome e cognome);
• chiavi private di Stripe, PayPal e Authorize.net per i dealer che le hanno fornite;
• rapporti finanziari interni.

I dati elencati potrebbero essere utilizzati per organizzare campagne di phishing, attacchi di ingegneria sociale o potrebbero essere venduti su forum underground e mercati darknet. Inoltre, avendo accesso ai siti Web dei rivenditori, gli aggressori potrebbero iniettare web skimmer e altri malware nel loro codice.

L’esperto ha notificato a Honda le sue scoperte già il 16 marzo 2023 e il 3 aprile 2023 la società ha confermato che tutti i problemi erano stati risolti. Dal momento che la Honda non ha un programma di bug bounty, Zvir non ha ricevuto alcuna ricompensa per la sua ricerca.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.