الفئة: ذكاء نقاط الضعففئة نقاط الضعف الأمنية: إذن غير لائقمعرف السيارة: طاقم العمل -285

ملخص تنفيذي

تهديدتأثيرتخفيف

• تسمح نقاط نهاية Swagger المكشوفة بالوصول غير المصرح به إلى العمليات التجارية والتسويقية.
• تستفيد الجهات الفاعلة في مجال التهديد من نقاط النهاية التي تم تكوينها بشكل خاطئ لاستهداف العملاء من خلال انتحال شخصية الشركة.

• تستخدم الجهات الفاعلة في مجال التهديد واجهات برمجة التطبيقات المكشوفة للوصول إلى بيانات الشركة الضحية ومعالجتها.
• الوصول غير المصرح به إلى المدفوعات والمبالغ المستردة والاشتراكات.
• تسمح مفاتيح API للجهات الفاعلة المهددة بانتحال شخصية الشركة.

• المراقبة المستمرة لواجهات برمجة التطبيقات.
• يجب تشفير البيانات التي تتم إدارتها بواسطة واجهات برمجة التطبيقات، وخاصة معلومات تحديد الهوية الشخصية.
• قم بتمكين عمليات التحقق من التخويل لمنع إساءة استخدام نقاط نهاية API.

كلاود سيكمنصة المخاطر الرقمية السياقية للذكاء الاصطناعي الجيل السادس عشر حدد زيادة في حالات المنظمات التي تعرض واجهات مستخدم Swagger. العديد من هذه الحالات تنطوي على مخاطر عالية للاستغلال.

التحليل الفني

• مواصفات Swagger (المعروفة أيضًا باسم OpenAPI) هي تنسيق وصف API لواجهات برمجة تطبيقات REST. يصف ملف Swagger واجهة برمجة التطبيقات، بما في ذلك:
  • نقاط النهاية المتاحة
  • العمليات على كل نقطة نهاية
  • إدخال معايير التشغيل
  • الإخراج لكل عملية
• وبالتالي، فإن الوصول غير المصرح به إلى Swagger UI للشركة يمكن أن يمكّن الجهات الفاعلة في مجال التهديد من انتحال شخصية الشركة والتلاعب ببياناتها واستهداف عملائها.

مثال على واجهات مستخدم Swagger المكشوفة ذات مخاطر الاستغلال العالية

[معرف التسمية التوضيحية = «المرفق _19833" aligncenter» العرض = «1117"] واجهة مستخدم SwaggerUI المكشوفة [/caption] أعلاه هو Swagger UI المكشوفة لشركة، والتي تحتوي على نقطتي نهاية قابلة للاستغلال:

1. /API/خيار الهاتف المحمول

تسمح نقطة النهاية هذه للجهات الفاعلة في مجال التهديد بإرسال رسائل WhatsApp إلى رقم هاتف محمول، عبر حساب Whatsapp التجاري الذي تم التحقق منه للشركة. [معرف التسمية التوضيحية = «المرفق _19834" aligncenter «العرض ="619"] نقطة نهاية الاشتراك عبر الهاتف المحمول [/caption] عند النقر على خيار «جربه»، يكون النص التالي هو نص الاستجابة المعروض. [معرف التسمية التوضيحية = «المرفق _19835" aligncenter «العرض ="1023"] نقطة نهاية الاشتراك عبر الهاتف المحمول [/caption]

1. /API/إلغاء الاشتراك

تسمح نقطة النهاية هذه للجهات الفاعلة في مجال التهديد بإرسال رسائل WhatsApp إلى رقم هاتف محمول، عبر حساب Whatsapp التجاري الذي تم التحقق منه للشركة، باستخدام Gupshup. Gupshup عبارة عن منصة لبناء روبوتات الدردشة والمراسلة تسهل دعم عملاء WhatsApp والتسويق. [معرف التسمية التوضيحية = «المرفق _19836" aligncenter» width="1220"] إلغاء الاشتراك في نقطة نهاية Gupshup [/caption]  

معلومات من المصدر المفتوح

• يتم استخدام Swagger من قبل أكثر من 6 ملايين مستخدم عبر 22,000 شركة في 194 دولة.
• يحتوي SwaggerUI على أكثر من 6000 إشارة على موقع شودان. يشير هذا إلى وجود مخاطر عالية للمؤسسات ذات نقاط نهاية SwaggerUI المفتوحة المكشوفة.

[معرف التسمية التوضيحية = «المرفق _19837" aligncenter «العرض ="1543"] تقرير شودان [/caption]

معلومات من منتديات الجرائم الإلكترونية

تُظهر المنشورات عبر منتديات الجرائم الإلكترونية أن الجهات الفاعلة في مجال التهديد تستفيد من نقاط نهاية Swagger UI المكشوفة للعثور على نقاط الضعف الحرجة مثل البرمجة النصية عبر المواقع (XSS)، واستغلالها بشكل أكبر لاستهداف الخدمات المستخدمة على نطاق واسع مثل Paypal و Microsoft و Github و Yahoo وما إلى ذلك. [معرف التسمية التوضيحية = «المرفق _19838" aligncenter» width="1829"] تم نشر المنشور على SwaggerUI في منتدى تحت الأرض [/caption] [معرف التسمية التوضيحية = «المرفق _19839" aligncenter «العرض ="1624"] قائمة CSS في مثيلات Swagger UI [/caption] يُظهر المنشور أدناه أحد ممثلي التهديد الذي يشارك مجموعة أدوات استغلال لـ Swagger UI. [معرف التسمية التوضيحية = «المرفق _19840" aligncenter «العرض ="863"] انشر مجموعة أدوات الاستغلال في منتدى تحت الأرض [/caption]

التأثير والتخفيف

التأثيرالتخفيف

• توفر واجهات برمجة التطبيقات المكشوفة وصولاً غير مصرح به إلى العمليات التجارية والتسويقية التي يمكن إساءة استخدامها لاستهداف عملاء الشركة.
• يمكن لممثل التهديد الوصول إلى بيانات الضحية والتلاعب بها باستخدام هذه العمليات.
• إن المهاجم الذي لديه وصول مباشر إلى بيانات العملاء يضر بخصوصية البيانات والسرية والنزاهة.
• عند الوصول إلى مفتاح API، يمكنهم تنفيذ عمليات مثل إرسال الوسائط والرسائل القصيرة نيابة عن اسم النشاط التجاري الشرعي.

• راقب واجهات برمجة التطبيقات باستمرار في سطح الهجوم.
• يجب تشفير البيانات التي تتم إدارتها بواسطة API، وخاصة معلومات التعريف الشخصية (PII) أو البيانات الحساسة الأخرى المحمية بمعايير ولوائح الامتثال.
• قم بتمكين آليات الترخيص الصارمة لنقاط النهاية الحرجة، لمنع إساءة استخدامها.

المراجع

• ^#https://en.wikipedia.org/wiki/Traffic_Light_Protocol
• Swagger API: اكتشاف بيانات API والعيوب الأمنية
• أمان API: الدليل الكامل للتهديدات والأساليب والأدوات
• https://cwe.mitre.org/data/definitions/285.html