با انجام این کار، نوجوان شکارچی ،ات بیش از 50000 دلار جایزه از این شرکت ها دریافت کرد، اما نه یک پنی از Zendesk.
به منظور تشریح شدت این نقص، د،ل همچنین نشان داد که چگونه می توان از آن برای دسترسی به فضاهای کاری خصوصی Slack شرکت هایی که سیستم Zendesk را به کار می برند استفاده کرد.
فقدان محافظت در برابر حملات جعل به این م،ی است که سیستم های امنیتی شرکت هایی که از پیکربندی های یک ورود به سیستم استفاده می کنند به راحتی قابل دور زدن هستند و به مهاجمان اجازه می دهد به هر مکالمه پشتیب، فعال بپیوندند و به اطلاعات حساس مشتری دسترسی داشته باشند.
کار با HackerOne – پلتفرمی که در آن هکرهای اخلاقی دفاع امنیت سایبری شرکت ها را برای نقاط ضعف آزمایش می کنند – شکارچی ،ات 15 ساله به نام د،ل قادر به دسترسی غیرمجاز به چندین بلیط پشتیب، مشتری بود.
- د،ل (@hackermondev) 11 اکتبر 2024
تمام مهاجمان احتمالی مورد نیاز آدرس ایمیل پشتیب، و شناسه بلیط بود که اغلب به دلیل استفاده از شناسه های متوالی قابل پیش بینی است.
این ناقض شرایط خدمات عیدی اشکال بود، که استانداردهای صنعتی است و در نظر گرفته شده برای محافظت از جامعه کلاه سفید و در عین حال از افشای مسئولانه حمایت می کند.
"این نقض اعتماد منجر به ضبط پاداش آنها شد، زیرا ما استانداردهای سختگیرانه ای را برای افشای مسئولانه حفظ می کنیم."
بنابراین، با توجه به جدی بودن نقض احتمالی، Zendesk چگونه پاسخ داد؟
در تصویری از زنجیره ایمیل با Zendesk که توسط د،ل منتشر شده است، این شرکت به شرح زیر است:
Cusick در توضیح آنچه او «آسیب پذیری زنجیره تأمین» می نامد، توضیح می دهد که این یک مشکل امنیتی رایج است که بسیاری از شرکت ها به دلیل ادغام ابزارهای تجاری مدرن با آن مواجه هستند.
در پست، شان کیوزیک، مدیر محصول Zendesk، تاکید می کند که "هیچ مدرکی دال بر سوء استفاده از این آسیب پذیری توسط یک بازیگر بد وجود ندارد."
سپس آنها می توانند ایمیل هایی را از آدرس درخواست کننده اصلی ارسال کرده و خودشان را در آن کپی کنند و به آنها دسترسی غیرمجاز به بلیط های پشتیب، را بدهند.
او همچنین توصیه می کند که در حالی که این نقص برطرف شده است، مشتریان Zendesk باید بهترین روش ها را در مورد تأیید کاربر اجرا کنند، مانند استفاده از احراز هویت دو مرحله ای، استفاده از زیر دامنه ها برای ایمیل های پشتیب، و ایمن ، سیستم های شخص ثالث که اطلاعات حساس را مدیریت می کنند.
اما این آسیب پذیری به همین جا ختم نشد.
از زم، که د،ل وبلاگ خود را منتشر کرد و جزئیات نقص جعل ایمیل و ارتباطات خود را با Zendesk منتشر کرد، این شرکت همچنین در یک پاسخ به آن پاسخ داد. پست در صفحه وب راهنمای Zendesk خود آپلود شد.
با این حال، در جولای سال جاری، فروشنده تأیید کرد که این مشکل را با معرفی فیلترهایی برای مسدود ، خودکار انواع خاصی از ایمیل ها، از جمله ایمیل های تأیید کاربر اپل و ایمیل های غیرمعمولی از طرف Google، حل کرده است.
این پاسخ بود که منجر به افشای آسیب پذیری اضافی Slack در آن زمان د،ل شد و همچنین یافته های خود را به برخی از شرکت های فردی که از فناوری Zendesk استفاده می ،د، برد.
از آنجایی که علت اصلی این آسیب پذیری شامل جعل ایمیل با دور زدن پروتکل های احراز هویت ایمیل است، این آسیب پذیری کاملاً در موارد مستثنی شده در خط مشی قرار می گیرد.
"در حالی که ما اذعان می کنیم که امکان دسترسی غیرمجاز به بلیط های پشتیب، یک موضوع جدی است، خط مشی Zendesk به صراحت "مشکلات SPF، DKIM، DMARC" را در بخش Bounty Inligible Issues فهرست می کند.
علیرغم اینکه د،ل با موفقیت از یک نقص امنیتی در سیستم Zendesk سوء استفاده کرد، هنگامی که او این مشکل را از طریق برنامه جایزه باگ شرکت گزارش داد، رد شد.
پس از آن، شکارچی باگ می تواند از ویژگی «ورود با اپل» برای دسترسی به کانال های خصوصی اسلک استفاده کند، جایی که می تواند یک بار دیگر اطلاعات محرمانه را به دست آورد.
د،ل نارسایی ها را در ویژگی همکاری ایمیل Zendesk برجسته کرد که باعث شد فروشنده در معرض جعل ایمیل باشد.
مسلماً نگران کننده ترین نگر، برای Zendesk و کاربران آن، سادگی این آسیب پذیری است.
در یک وبلاگ به اشتراک گذاشته شده در X، د،ل توضیح داد که چگونه توانست نقص سیستم Zendesk را پیدا کند و آشکار کند.
با ایجاد یک حساب کاربری اپل با ایمیل پشتیب، یک شرکت و درخواست کد تأیید، د،ل توانست از شکاف امنیتی ایمیل جعلی برای دسترسی به بلیط پشتیب، Zendesk استفاده کند.
در نهایت، Cusick مستقیماً به انتقادات د،ل از برنامه جایزه Zendesk می پردازد و بیان می کند که او «اصول اخلاقی کلیدی را با تماس مستقیم با اشخاص ثالث در مورد گزارش آنها قبل از اصلاح، نقض کرد.
یک آسیب پذیری Zendesk به مهاجم سایبری اجازه دسترسی به اطلاعات حساس مشتری را می دهد.
1 اشکال، بیش از 50 هزار دلار پاداش: چگونه Zendesk در پشتی صدها شرکت را ، کرد #bugbountyps