La Honda ha lasciato i dati degli utenti scaricabili per una vulnerabilità nelle sue API

La piattaforma di e-commerce di Honda per apparecchiature elettriche, motori fuoribordo e attrezzature da giardino è stata vulnerabile all’accesso non autorizzato. Di conseguenza, chiunque avrebbe potuto utilizzare un bug nell’API per reimpostare la password per qualsiasi account.

Si sottolinea che il problema non ha colpito i possessori di auto e moto Honda. Il problema è stato scoperto dal ricercatore di sicurezza Eaton Zveare, che qualche mese fa ha trovato bug simili sul portale dei fornitori di Toyota.

Lo specialista afferma che l‘API di reimpostazione della password ha permesso di reimpostare la password degli account e quindi ottenere un accesso illimitato ai dati a livello di amministratore.

Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected]. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

“I controlli di accesso mancanti consentivano l’accesso a tutti i dati sulla piattaforma, anche quando si accedeva come account di prova”, ha spiegato Zvir.

Il difetto nell’API era correlato alla piattaforma di e-commerce di Honda, che assegna sottodomini powerdealer.honda.com a rivenditori e rivenditori registrati, ha affermato. Un’API di reimpostazione della password su uno dei siti Honda, Power Equipment Tech Express (PETE), ha gestito le richieste di reimpostazione della password senza un token o una password precedente, richiedendo solo un indirizzo e-mail valido.

Sebbene la vulnerabilità non si manifestasse nel portale di accesso stesso, le credenziali passate attraverso PETE funzionavano ancora, quindi chiunque poteva accedere ai dati interni dei rivenditori.

Inoltre, il ricercatore ha appreso l’indirizzo e-mail valido del rivenditore da una registrazione video di un webinar su YouTube, che mostrava il pannello di controllo a disposizione dei rivenditori e un account di prova.

Sebbene ciò consentisse solo l’accesso a un account di prova, Zvir ha rilevato un’altra vulnerabilità che gli ha consentito di accedere ai dati di qualsiasi rivenditore semplicemente modificando il valore dell’ID nell’URL del pannello di amministrazione.

Di conseguenza, dopo aver studiato la piattaforma Honda e le sue carenze, l’esperto ha trovato le seguenti informazioni:

• 21.393 ordini cliente tra agosto 2016 e marzo 2023 (inclusi nome cliente, indirizzo, numero di telefono e articoli ordinati);
• 1.570 siti dealer (di cui 1.091 attivi), tutti modificabili;
• 3588 account utenti/rivenditori (comprensivi di nome e cognome, indirizzo e-mail), per ciascuno dei quali è stato possibile modificare la password;
• 1090 email rivenditore (contengono nome e cognome);
• 11.034 email clienti (contengono nome e cognome);
• chiavi private di Stripe, PayPal e Authorize.net per i dealer che le hanno fornite;
• rapporti finanziari interni.

I dati elencati potrebbero essere utilizzati per organizzare campagne di phishing, attacchi di ingegneria sociale o potrebbero essere venduti su forum underground e mercati darknet. Inoltre, avendo accesso ai siti Web dei rivenditori, gli aggressori potrebbero iniettare web skimmer e altri malware nel loro codice.

L’esperto ha notificato a Honda le sue scoperte già il 16 marzo 2023 e il 3 aprile 2023 la società ha confermato che tutti i problemi erano stati risolti. Dal momento che la Honda non ha un programma di bug bounty, Zvir non ha ricevuto alcuna ricompensa per la sua ricerca.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.