El error NordVPN HTTP POST expuso la información del cliente, no se requiere autenticación


Los piratas informáticos iraníes han abusado sistemáticamente de las fallas del servidor VPN para plantar puertas traseras
Los grupos de APT iraníes han apuntado a VPN de Pulse Secure, Fortinet, Palo Alto Networks y Citrix para piratear grandes empresas.

NordVPN ha tapado un agujero en la plataforma de pago de la compañía que filtró datos confidenciales de los clientes.

Según lo informado por El registro, la vulnerabilidad se hizo pública en HackerOne en febrero, una plataforma de recompensas de errores en la que los investigadores pueden revelar en privado los problemas de seguridad a los proveedores a cambio de créditos y recompensas financieras.

Divulgado por un investigador con el nombre de "dakitu" y emitió un puntaje de severidad "alto" de 7 – 8.9, la vulnerabilidad de Referencia Directa de Objetos Inseguros (IDOR) podría activarse enviando un HTTP POST solicitud al dominio nordvpn.com.

Ver también: Cómo encontrar el mejor servicio VPN: su guía para mantenerse seguro en Internet

Sin ninguna forma de autenticación, una solicitud enviada a la API del sitio web devolvería una cadena de información del usuario. Se utilizó una cuenta de prueba para hacer ping a la información, incluidas las direcciones de correo electrónico, los registros de pago del comerciante, las URL, los productos comprados y las cantidades pagadas.

Al cambiar la ID de usuario, el error podría usarse para ver otra información de perfil y conjuntos de datos.

Una portavoz de NordVPN dijo a la publicación que "este es un caso aislado que potencialmente solo afectó a un puñado de usuarios, debido a la limitación de velocidad implementada". El portavoz agregó que, en teoría, solo las direcciones de correo electrónico pueden ser vistas por terceros.

CNET: Las mejores VPN gratuitas: 5 razones por las que no existen

La vulnerabilidad se parchó en diciembre y se le otorgó a dakitu una recompensa por errores de $ 1,000.

Al mismo tiempo, un recompensa de errores por separado también se resolvió en la plataforma NordVPN. El investigador th3pr0xyb0y reveló un problema de limitación de velocidad en la página de contraseñas olvidadas de NordVPN, en el que no había límite para las solicitudes de contraseñas.

Se otorgó una recompensa por errores de $ 500 por el segundo problema de seguridad.

TechRepublic: Coronavirus: lo que los profesionales de negocios necesitan saber

El año pasado, el servicio VPN reveló una violación de datos en uno de sus centros de datos, causada por un sistema de administración remota que pertenece a un proveedor de centro de datos externo.

NordVPN no sabía que existía hasta que un atacante cibernético obtuvo acceso, pero dada la gravedad del problema, ya que los servicios VPN confían en la confianza del usuario y la protección de datos para tener éxito, la compañía rescindió de inmediato su contrato de alquiler del centro de datos y se mudó a otro lugar .

Cobertura previa y relacionada


¿Tienes una propina? Póngase en contacto de forma segura a través de WhatsApp | Señal en +447713 025 499, o más en Keybase: charlie0




Enlace a la noticia original