搜索

[17155] 2021-08-16_福特汽车公司出现暴露客户和员工记录的漏洞

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2021-08-16_福特汽车公司出现暴露客户和员工记录的漏洞 福 特 汽 车 公 司 出 现 暴 露 客 户 和 员 工 记 录 的 漏 洞 w z b 1 2 3   F r e e B u f   2 0 2 1 - 0 8 - 1 6 据 据 B l e e p i n g   C o m p u t e r 报 道 ， 报 道 ， 8 月 月 1 5 日 ， 研 究 人 员 披 露 了 在 福 特 网 站 上 发 现 的 一 个 漏 洞 ， 该 漏 洞 可 以 让 浏 览 者 窥 日 ， 研 究 人 员 披 露 了 在 福 特 网 站 上 发 现 的 一 个 漏 洞 ， 该 漏 洞 可 以 让 浏 览 者 窥 视 公 司 机 密 记 录 、 数 据 库 并 且 执 行 帐 户 接 管 。 视 公 司 机 密 记 录 、 数 据 库 并 且 执 行 帐 户 接 管 。 研 究 人 员 于 今 年 2 月 向 福 特 报 送 该 漏 洞 ， 福 特 称 该 漏 洞 已 修 复 。 数 据 泄 露 的 根 源 是 福 特 汽 车 公 司 服 务 器 上 运 行 的   P e g a   I n f i n i t y   客 户 参 与 系 统 配 置 错 误 。 从 数 据 泄 露 到 账 户 接 管 从 数 据 泄 露 到 账 户 接 管 福 特 汽 车 公 司 网 站 上 存 在 一 个 系 统 漏 洞 ， 该 漏 洞 允 许 浏 览 者 访 问 敏 感 系 统 ， 并 获 取 包 括 客 户 数 据 库 、 员 工 记 录 、 内 部 票 证 等 专 有 信 息 。 漏 洞 由 R o b e r t   W i l l i s   和   b r e a k 3 r 发 现 ，   并 得 到 了 S a k u r a   S a m u r a i 白 帽 组 织 成 员 A u b r e y   C o t t l e 、 J a c k s o n   H e n r y 和 J o h n J a c k s o n   的 进 一 步 验 证 和 支 持   。 这 种 问 题 是 由 一 个 名 为 这 种 问 题 是 由 一 个 名 为   C V E - 2 0 2 1 - 2 7 6 5 3   信 息 泄 露 漏 洞 引 起 的 ， 存 在 于 配 置 不 当 的 信 息 泄 露 漏 洞 引 起 的 ， 存 在 于 配 置 不 当 的   P e g a   I n f i n i t y   客 户 管 理 系 统 客 户 管 理 系 统 实 例 中 。 实 例 中 。 研 究 人 员 向 媒 体 分 享 了 福 特 内 部 系 统 和 数 据 库 的 许 多 截 图 ， 例 如 下 图 所 示 的 公 司 票 务 系 统 ：
福 特 内 部 的 票 务 系 统 想 要 利 用 该 漏 洞 的 话 ， 攻 击 者 必 须 先 访 问 配 置 错 误 的   P e g a   C h a t   A c c e s s   G r o u p   门 户 实 例 的 后 端   W e b   面 板 ： h t t p s : / / w w w . r p a - p e g a - 1 . f o r d . c o m / p r w e b / P R C h a t / a p p / R P A C H A T _ 4 0 8 9 / b D 8 q H * * * * * * b I w 4 P r b * / ! R P A C H A T / $ S T A N D A R D … 作 为   U R L   参 数 提 供 的 不 同 负 载 ， 可 能 使 攻 击 者 能 够 运 行 查 询 、 检 索 数 据 库 表 、 O A u t h   访 问 令 牌 和 执 行 管 理 操 作 。 研 究 人 员 表 示 ， 暴 露 的 资 产 包 含 以 下 所 示 的 一 些 敏 感 的 个 人 身 份 信 息   （ P I I ） ： 客 户 和 员 工 记 录 、 财 务 账 号 、 数 据 库 名 称 和 表 、 O A u t h   访 问 令 牌 、 内 部 投 票 、 用 户 个 人 资 料 、 内 部 接 口 、 搜 索 栏 历 史 等 。 R o b e r t   W i l l i s 在 一 篇 博 客 文 章 中 写 道 ，   “ 影 响 规 模 很 大 ， 攻 击 者 可 以 利 用 访 问 控 制 中 发 现 的 漏 洞 ， 获 取 大 量 敏 感 记 录 ， 获 取 大 量 数 据 ， 执 行 帐 户 接 管 。 ” 用 时 六 个 月 用 时 六 个 月 “ 强 制 披 露 强 制 披 露 ” 2 0 2 1 年 2 月 ， 研 究 人 员 向 P e g a 报 告 了 他 们 的 发 现 ， 他 们 用 相 对 较 快 的 时 间 修 复 了 聊 天 门 户 中 的   C V E 。 大 约 在 同 一 时 间 ， 福 特 公 司 也 通 过 H a c k e r O n e   漏 洞 披 露 计 划 收 到 了 该 漏 洞 报 送 。 但 是 ， 根 据 报 道 ， 随 着 漏 洞 披 露 时 间 表 的 推 进 ， 福 特 的 反 馈 却 变 得 越 来 越 少 。 J a c k s o n 在 电 子 邮 件 采 访 中 回 应 媒 体 ， “ 有 一 次 ， 福 特 汽 车 公 司 对 我 们 的 问 题 置 之 不 理 ， 经 过 H a c k e r O n e 的 调 解 ， 我 们 才 得 到 福 特 对 该 漏 洞 的 初 步 回 应 。 ” J a c k s o n 还 表 示 ， 随 着 披 露 时 间 表 的 进 一 步 推 进 ， 研 究 人 员 仅 在 发 布 了 该 漏 洞 的 推 文 以 后 ， 收 到 了 H a c k e r O n e 的 回 复 ， 没 有 包 含 任 何 敏 感 细 节 ：
J a c k s o n 在 后 续 的 推 文 中 继 续 说 ： “ 当 漏 洞 标 记 成 已 经 解 决 后 ， 福 特 汽 车 公 司 忽 略 了 我 们 的 披 露 请 求 ， 随 后 ， H a c k e r O n e 调 解 同 样 忽 略 了 我 们 的 披 露 请 求 ， 这 可 以 在   P D F   中 看 到 “ ； “ 出 于 对 法 律 和 负 面 影 响 的 担 忧 ， 我 们 只 能 等 待 整 整 六 个 月 才 能 根 据 H a c k e r O n e 的 政 策 执 行 强 制 披 露 。 “ 目 前 ， 福 特 汽 车 公 司 的 漏 洞 披 露 计 划 没 有 提 供 金 钱 激 励 或 者 漏 洞 奖 励 ， 因 此 根 据 公 众 利 益 进 行 协 调 披 露 是 研 究 人 员 唯 一 希 望 的 获 得 “ 奖 励 ” 。 跟 随 报 道 披 露 出 的 报 告 副 本 显 示 ， 福 特 没 有 对 具 体 的 安 全 相 关 行 动 发 表 评 论 。 根 据   P D F   中 的 讨 论 ， 福 特 与 H a c k e r O n e 对 研 究 人 员 表 示 ： “ 发 现 的 漏 洞 在 提 交 给   H a c k e r O n e 后 不 久 ， 系 统 就 下 线 了 。 ” 尽 管 福 特 在 报 告 发 布 后 尽 管 福 特 在 报 告 发 布 后 2 4 小 时 内 已 经 将 这 些 终 端 下 线 ， 但 研 究 人 员 在 同 一 份 报 告 中 评 论 称 ， 小 时 内 已 经 将 这 些 终 端 下 线 ， 但 研 究 人 员 在 同 一 份 报 告 中 评 论 称 ， ” 在 报 告 发 布 后 ， 这 在 报 告 发 布 后 ， 这 些 终 端 仍 然 可 以 访 问 ， 要 求 进 行 另 一 次 审 查 和 补 救 。 些 终 端 仍 然 可 以 访 问 ， 要 求 进 行 另 一 次 审 查 和 补 救 。 “ 目 前 尚 不 清 楚 是 否 有 人 员 利 用 该 漏 洞 入 侵 福 特 的 系 统 ， 或 者 是 否 访 问 了 客 户 和 员 工 的 敏 感 数 据 。 目 前 尚 不 清 楚 是 否 有 人 员 利 用 该 漏 洞 入 侵 福 特 的 系 统 ， 或 者 是 否 访 问 了 客 户 和 员 工 的 敏 感 数 据 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理