Uber平台現身份認證漏洞，利用漏洞可重置任意賬戶密碼

義大利安全專家Vincenzo C. Aka發現Uber平台存在身份認證漏洞，任意賬戶都可以利用該漏洞重置密碼，這一發現於昨日正式公布。實際上，引發此次「身份認證危機」的漏洞是在七個月前發現的，Vincenzo C. Aka當時通過HackerOne的Bug Bounty項目將漏洞上報給了

（他在HackerOne平台的賬號為procode701）。

作者 | sunleying

該漏洞發展的時間線如下：

2016年10月2日—將漏洞上報Uber

2016年10月4日—漏洞分級

2016年10月6日—修復漏洞

2016年10月18日—研究者獲10，000美元獎勵

舊有漏洞如何重新利用？

「只需一個Uber有效賬戶的電子郵箱地址，任何人都可以接管該賬戶。在響應密碼重置HTTP請求時，響應token就會暴露。也就是說，攻擊者可以重發起重置請求，快速接收重置token。」

Uber對此回應稱:「保護用戶的數據安全是重中之重，因此我們對這項報告很感興趣。另外，我們很樂意跟procode701合作，希望他將來可以上報更多漏洞。」

這位義大利專家發現，這一過程可以被利用生成認證token「inAuthSessionID」,這個token可以更改任意賬戶的密碼。

為了獲得更多細節，securityaffairs網站聯繫了Vincenzo C. Aka。Vincenzo C. Aka表示，只需使用任意一個Uber賬號的有效電子郵件地址，發送重置密碼的請求，就會收到包含「inAuthSessionID」session token的回應。只要用戶發送重置密碼的請求郵件，Uber平台每次都會生成一個特定的session token。

一旦獲取session令牌「inAuthSessionID」，攻擊者就可以通過正常的鏈接，進入重置密碼界面更改密碼。

1、

SESSION ID <—通過更改電子郵箱密碼生成 inAuthSessionID /af9b9d0c-bb98-41de-876c-4cb911c79bd1 <– tokenID沒有過期時間

這是一個高危漏洞，攻擊者可以由此進入任意賬戶，獲取任意用戶的數據（例如，身份信息，銀行數據，駕駛證信息），其中包括金融數據。

這不是Uber第一次陷入漏洞危機了，更多了解可參考FreeBuf此前報道：（點擊下方主頁下方 「精華推薦」 —— 「搜索文章」 即可關鍵詞搜索文章）

美國流行打車APP Uber被曝收集用戶隱私

Uber資料庫遭入侵，50000名司機信息泄露

Uber修復三個漏洞，白帽子獲數千美金獎勵（含漏洞分析）

*參考來源securityaffairs,本文作者sun,轉載請註明來自FreeBuf.COM

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！