Hasło w aplikacji Wyndham otwierało bazę klientów. Firma odcięła dostęp
Hasło umieszczone w kodzie aplikacji Wyndham pozwalało uzyskać dostęp do wewnętrznej bazy danych z informacjami o klientach. Luka została zgłoszona przez badacza Roberta Wigginsa, a firma unieważniła ujawnione dane dostępowe po kontakcie z redakcją TechCrunch.
Według ustaleń TechCrunch baza przechowywała między innymi imiona i nazwiska klientów, adresy e-mail oraz numery członkowskie programu lojalnościowego Wyndham. Znajdowały się w niej także tokeny JWT, które utrzymują zalogowanie użytkownika w aplikacji, a także pliki i dokumenty firmy. To oznacza, że problem nie dotyczył wyłącznie pojedynczego rekordu, lecz mógł otwierać drogę do szerszego zakresu danych.
Wiggins nie był w stanie ustalić dokładnej liczby potencjalnie dostępnych rekordów. Poinformował jedynie, że baza zawierała miliony wpisów. Wyndham podaje, że jego program lojalnościowy ma około 129 mln zapisanych członków, ale ta liczba nie jest równoznaczna z liczbą osób objętych opisywanym problemem.
„Nasz zespół podjął działania, aby rozwiązać ten problem” – przekazał TechCrunch rzecznik Wyndham. Firma dodała, że jej zespoły bezpieczeństwa nie mają dowodów na nieautoryzowany dostęp. Nie wyjaśniła jednak, czy dysponuje logami pozwalającymi sprawdzić wcześniejsze próby dostępu ani czy zamierza powiadomić klientów lub amerykańskie organy regulacyjne.
Dlaczego hasło w aplikacji jest poważnym błędem
Hasło zapisane na stałe w publicznie dystrybuowanej aplikacji można wydobyć z jej kodu. W praktyce każdy, kto pobierze aplikację i przeanalizuje jej pliki, może znaleźć taki sekret, a następnie wykorzystać go poza aplikacją. Dane dostępowe powinny być przechowywane po stronie serwera, ograniczone zakresem uprawnień i możliwe do szybkiego unieważnienia.
Wyndham poinformował, że po zgłoszeniu odciął ujawniony dostęp. To ogranicza dalsze wykorzystanie konkretnego hasła, ale samo unieważnienie nie odpowiada na pytanie, czy ktoś użył go wcześniej. Badacz zaznaczył, że bez wglądu w historię aktywności nie da się ocenić, czy dane zostały pobrane przed usunięciem luki.
W swoim raporcie rocznym Wyndham opisuje korzystanie z usług zewnętrznych dostawców technologii, w tym Salesforce, oraz procedurę identyfikowania, ograniczania i usuwania skutków incydentów. Dokument pokazuje, dlaczego bezpieczeństwo aplikacji i dostawców chmurowych musi być traktowane jako jeden łańcuch: błąd w kliencie mobilnym może dać dostęp do systemu utrzymywanego poza infrastrukturą hotelowej marki.
To drugi podobny przypadek ujawniony publicznie przez Wigginsa w krótkim czasie. Wcześniej badacz znalazł zaszyte dane dostępowe w aplikacji Applebee’s. Jak wynika z relacji TechCrunch, w obu analizach pomagały mu narzędzia AI, które przyspieszają przeszukiwanie zdekompilowanego kodu pod kątem prostych błędów, takich jak hardcoded credentials.
Źródła
Autor Artykułu
Paweł Lisowski
Paweł Lisowski - pasjonat technologii, komputerów i internetu. Od wielu lat śledzi rozwój sprzętu i oprogramowania, testuje nowe rozwiązania i dzieli się wiedzą z czytelnikami. Zafascynowany wpływem technologii na codzienne życie, tworzy praktyczne poradniki i inspiruje do świadomego korzystania z cyfrowego świata.