最新新闻
海信电器发布公告称 海信电器正式更名为海信视像 海信的管理杰出贡献是中国管理创新的新榜样 重磅发布 隈研吾再次玩跨界 为百得胜操刀品牌新LOGO 增强现实将改变建筑师的工作方式格雷格·林恩说 Allee将康涅狄格州湖边的房子分成两个不同的部分 DS E-TENSE以中央镀铬的脊柱和独特的金属绿色紫黄晶车身色为特色 全新Bentley Mulsanne系列在日内瓦亮相前揭晓 全新600马力Alpina B7 Supersaloon在日内瓦车展前亮相 阿斯顿·马丁DB11是该公司第二世纪计划下推出的第一款产品 绿地汇金 做好投资理财 能让你快速致富 赢发宝 没有睡后收入,何以财富自由 中金创盈 理财知识如何学以致用 香港卡连佛时尚集团 美妆行业的佼佼者 个人事业的大舞台! 2020年江苏卫视跨年演唱会超强明星阵容+硬核舞美 南方黑芝麻贵妃丸邀您一起锁定 AMD推出了两个尚无法购买的中端Ryzen CPU 尊敬的分析师称 iPad Pro 3可能取代Lightning取代USB-C 流行的Mac应用程序窃取和共享用户的浏览器历史记录 Plenty是全美房地产价格上涨的佼佼者之一 大众向消费者销售了多达17,000个试生产原型 中真点金 投资理财我们应该怎么做 最新Pi币注册教程 Pi Network 派π币挖矿中文下载 吸尘器好用吗 符合家庭日常需求的无绳吸尘器哪个牌子好 加利福尼亚州的公寓建筑商已购买了大草原地区的房地产 雷·哈伯德湖附近的工程中有1000个家庭的社区 Rowlett在雷哈伯德湖上的水晶泻湖项目开工 达拉斯房价涨幅在最新报告中扩大 詹姆斯·坎贝尔公司于五月购买了普莱诺的白金公园办公项目 盘点常见宝石切割方式 不知道“帝王钻”都不好意思说懂珠宝 上海携趣利用金融科技助力金融行业的长远发展 聚沙学院肖劲松陈骏院长:CJL正规区块链交易所,扩大区块链技术应用范围
您的位置:首页 >资讯 > 金融 >

Bug赏金初创公司HackerOne在分析错误后遭到攻击

2019-12-06 17:42:22   来源:

Bug赏金计划启动HakeroneInc.意外地给研究人员提供了读取和修改一些Bug报告的能力后,遭遇了安全漏洞。

这一事件的发生是因为Hackerone的一位与研究人员相对应的分析师提供了一个curl命令,错误地包含了一个有效的会话cookie。这使任何人都有能力访问和修改分析师可以访问的相同数据。

一位名叫haxta4ok00的研究人员在11月24日的HackerOne社区委员会上写道,Ars Technica今天首先注意到,他被允许进入社区,他也可以证明这一事实。HackerOne确实动作很快,在初始报告发布两小时零三分钟后,取消了对会话cookie的访问,但问题是它是如何开始的。

HackerOne的官方解释是,其安全分析师未能删除从泄露会话cookie的浏览器控制台复制的curl命令的部分内容。

HackerOne说:“会话cookie绑定到特定的应用程序,在本例中是hackerone.com。”“当会话cookie在另一个位置被重用时,应用程序不会阻止访问。这是已知的风险。由于HackerOne的许多用户通过移动连接和代理进行工作,封锁访问将降低这些用户的用户体验。“

公司现已对其安全程序作了修改。研究Cherhaxta4O00还支付了20000美元,用于查明和报告安全问题。

网络安全公司ImmuniWeb的创始人兼首席执行官伊利亚·科洛琴科(Ilia Kolochenko)对SiliconANGLE表示:“现在由HackerOne宣布的安全措施之所以没有实施,是非常令人惊讶的,因为其中一些措施具有根本性和不可缺少的性质。”其他纠正措施,“他补充说,也可能看起来有问题,例如阻止进入特定国家。

Kolochenko解释说:“鉴于HackerOne持续宣传多元化和国际化的人群智慧,安全研究人员可能至少会感到不舒服,甚至感到尴尬。””而且重要的是,老练的网络罪犯将最轻松地绕过这一措施。尽管如此,HackerOne对这一事件的迅速和透明的披露对其他人来说是一个值得称赞的例子,并再次提醒我们,人类是最薄弱的一环。”.

Tripwire Inc.的漏洞和暴露研究团队的计算机安全研究员克雷格·杨(Craig Young)称这一消息令人震惊。他指出,与此前披露的Bugzilla或谷歌问题追踪器(Google DiseaseTracker)内部披露的事件或弱点类似,曝光非公开HackerOne报告对所有互联网用户都是一种危险。

杨补充道:“虽然我赞扬HackerOne的回应,但这一事件再次提醒人们,通过使用BugCrowd或HackerOne之类的托管漏洞报告服务,组织承担了不同的风险。”“这些供应商整合了有价值的数据,为情报机构甚至犯罪分子提供了一个极具吸引力的攻击目标。”

通过我们的1-单击“订阅我们的YouTube频道”(下面)显示您对我们的任务的支持-我们拥有更多的用户,然后YouTube的算法将我们的内容推广到对#企业技术感兴趣的用户。


郑重声明:本文版权归原作者所有,转载文章仅为传播更多信息之目的,如作者信息标记有误,请第一时间联系我们修改或删除,多谢。