McDonald’s Hindistan (Batı ve Güney) / Hardcastle Restaurants Pvt. Ltd., McDonald’s’ın teslimat, akşam yemeği ve paket servis yemeklerini sipariş etmek için özel bir McDelivery web uygulaması işletiyor.
Uygulama, Google Play’de 10 milyondan fazla indirmeyle ve Apple App Store’da Yiyecek ve İçecek kategorisinde 16. sırada yer almasıyla popülerdir ve yiyecek almak için çeşitli seçenekler sunar.
Uygulamada 2017 yılında kullanıcı verilerinin sızdırıldığı bir güvenlik olayı yaşanmış olsa da o zamandan bu yana benzer bir olay bildirilmedi.
McDelivery web sitesinin denetimi sırasında bir güvenlik araştırmacısı, Kırık Nesne Düzeyinde Yetkilendirme (BOLA) güvenlik açığı keşfetti.
KOBİ’ler ve MSP’ler için 2024 MITRE ATT&CK Değerlendirme Sonuçları -> Ücretsiz Kılavuzu İndirin
“Sipariş izleme” yolundaki sipariş kimliğini basitçe değiştirerek, bir misafir tarafından oluşturulan JWT tokeninin varlığına rağmen, uygun kimlik doğrulama olmadan diğer kullanıcıların sipariş durumu ve konum dahil olmak üzere hassas sipariş ayrıntılarına erişebildiler. oturum açma API çağrısı.
Diğer müşterilere ait bilgileri kolayca sıralamak ve bunlara erişmek için sipariş kimliklerinin sıralı yapısından yararlandılar ve uygulamanın yetkilendirme mekanizmalarındaki kritik bir güvenlik kusurunun altını çizdiler.
.webp)
McDonald’s McDelivery uygulamasında çeşitli güvenlik açıkları var ve sipariş kimliklerini değiştirerek sürücü bilgileri ve müşteri faturaları gibi hassas verilere eriştiler ve hatta telefon numarası doğrulaması olmadan hesaplar oluşturdular.
McDelivery platformunda kullanıcı gizliliği ve veri güvenliğine yönelik potansiyel riskleri vurgulayan, veri almak, fatura oluşturmak ve normal hesap oluşturma sürecini atlamak için belgelenmemiş API’lerden yararlandılar.
%20(1).webp)
Bu kusurdan yararlanarak, alışveriş sepetlerindeki öğelerin fiyatlarını manipüle edebildiler; bu, sunucuya kötü niyetli bir PUT isteği gönderilerek elde edildi; bu, bireysel öğelerin fiyat alanını güncellemelerine olanak tanıdı.
Sipariş detaylarına müdahale edilmesini önlemek için sunucu tarafında RSA imzası uygulanmasına rağmen araştırmacı, imza oluşturulmadan önce ürün fiyatlarını değiştirerek bu durumu atlattı.
Başarılı bir şekilde yararlanma, uygulama mantığı dahilinde uygun giriş doğrulama ve yetkilendirme kontrollerinin kritikliğini ortaya koyarak, yeterince kısıtlanmayan veri değiştirme yetenekleriyle ilişkili potansiyel riskleri vurguladı.
%20(2).webp)
Eat On Works’e göre araştırmacılar, McDelivery’de yetkisiz kullanıcıların siparişleri çalmasına izin veren çok sayıda güvenlik açığı keşfetti.
Saldırgan, ödeme onaylanmadan önce başka bir kullanıcı tarafından verilen siparişin adresini kendi adresiyle değiştirebilir.
Saldırgan ayrıca siparişin kullanıcı kimliğini kendi hesabına değiştirerek siparişi tamamen çalabilir; bu arada yazar bu güvenlik açıklarını sorumlu bir şekilde McDelivery’ye bildirdi ve bulguları için bir hata ödülü aldı ve McDelivery güvenlik açıklarını düzeltti.
ANY.RUN ile Gerçek Dünyadaki Kötü Amaçlı Bağlantıları, Kötü Amaçlı Yazılımları ve Kimlik Avı Saldırılarını Araştırın – Ücretsiz Deneyin