SoundCloudは、ログイン試行回数に制限がないため、クレデンシャルスタッフィング攻撃の標的になりましたSoundCloudは、ログイン試行回数に制限がないため、クレデンシャルスタッフィング攻撃の標的になりました1億7000万人を超えるユーザーを抱えるSoundCloudは、間違いなく世界最大のオーディオストリーミングプラットフォームの1つです。Alexaによると、それはトップ100の最も訪問されたWebサイトにあるため、Checkmarxのセキュリティ研究チームがよく見て回るのに最適な候補になりました。11月に、Checkmarxの専門家は、広く使用されているオンラインプラットフォームでのAPIセキュリティの状態を調査していました。見つけたものに特に満足していなかったと言っても過言ではありません。Checkmarxの研究者は、SoundCloudのAPIにいくつかのセキュリティ上の脆弱性を発見しました。これは、ハッカーに多くの攻撃機会を与える可能性がありました。ほとんどのシナリオでは、犯罪者はSoundCloudのサービスを中断する以上のことはできませんでしたが、2つのセキュリティ監視の組み合わせがあり、人々の悪いパスワード習慣と相まって、大規模なアカウント乗っ取り攻撃を許可することができました。2つのSoundCloudバグにより、クレデンシャルスタッフィングとブルートフォース攻撃が容易になりましたクレデンシャルスタッフィングは、多数の人々のオンラインアカウントを侵害する最も簡単な方法の1つです。これは、毎日インターネットに流出する膨大な量の盗まれたパスワードを考えると驚くことではありません。詐欺師たちはまた、機会があればもっと伝統的なブルートフォース攻撃を仕掛けることを避けません。そのため、Checkmarxの研究者がSoundCloudの認証システムの調査を開始したとき、最初のタスクの1つはストリーミングプラットフォームのユーザーがこの種の活動から保護されています。彼らはそうではないことが判明した。研究者は、SoundCloudアカウントを比較的簡単に列挙できることに気付きました。電子メールアドレスを取得し、APIのエンドポイント(サインインとパスワードのリセットプロセスを容易にするエンドポイント)を照会しました。どちらの場合でも、エンドポイントの応答は、この電子メールアドレスを持つアカウントが存在するかどうかを明確に示します。スクリプトを使用すると、攻撃者は自動的に多数のクエリを実行し、有効なSoundCloudアカウントのリストを作成できます。その後、彼らは彼らの方法で総当たりすることができます。調査中、Checkmarxの研究者は、SoundCloudが1つのアカウントで実行されるログイン試行の失敗回数に制限を設けていないことを発見しました。有効なSoundCloudプロファイルに関連付けられた電子メールアドレスのリスト(既に確立しているように、取得するのは難しくありません)を備えたハッカーは、それぞれのパスワードに必要なだけのパスワードを試すことができます。クレデンシャルスタッフィング攻撃は、おそらくさらに簡単でした。ハッカーがする必要があるのは、レートリミッターをバイパスすることだけでした。これは、Checkmarxによると、リクエストをわずかに変更することで可能になりました。セキュリティエラーにより、SoundCloudはDoS攻撃に対して脆弱になりましたこのシナリオは必ずしも大げさではなく、アカウントの乗っ取りの可能性、特にパスワードを再利用する人々にとっては非常に現実的でした。SoundCloudに脆弱性を報告する前に、Checkmarxの専門家は、ユーザーまたはサービス自体を危険にさらす可能性のある他の欠陥を探して、さらに調べてみることにしました。いくつかの問題があることが判明しました。tracksエンドポイントへのリクエストを操作することで、研究者は700近いトラックIDのリストを取得できました。通常の使用では、APIは16個のトラックIDのみを返します。これにより、細工されたリクエストがSoundCloudのハードウェアにどれだけの圧力をかけるかがわかります。これは、分散サービス拒否(DDoS)攻撃が発生するのを待っていました。Webサーバーはサービスが実行されているシステムに関する情報を漏らしました。APIの入力検証エラーは、攻撃者が新しい曲をアップロードするときに、説明、タイトル、およびジャンルフィールドに長い文字列を入力できることも意味し、理論的にはさらなる悪用の機会が開かれました。SoundCloudは脆弱性を迅速に修正しましたCheckmarxの研究者は、SoundCloudに修正すべき問題がかなりあることを知っていたため、問題を開示する時間を無駄にしませんでした。レポートは2019年11月11日に送信され、同日、ストリーミングプラットフォームは調査を開始したことを確認しました。1か月も経たないうちに、最も深刻な脆弱性が修正され、1月下旬までに、Checkmarxのすべての懸念が解決されました。彼らのレポートでは、研究者は、SoundCloudのセキュリティチームが示したプロ意識に感銘を受けていると指摘しました。残念ながら、今日では、これほど頻繁に表示されることはありません。暗号化を利用しやすくし、日常のオンライン生活にシンプルさと組織をもたらすように設計されたデータ管理ソフトウェアソリューションを開発しています。Managerあなたのオンライン生活を簡素化する簡単な暗号化されたパスワード管理アプリ。Time世界中のさまざまな場所で現在の時刻を表示できる使いやすいツールで、複数のタイムゾーンでスケジュールを計画するのに役立ちます。会社よりシンプルなオンライン体験のために開発および設計されたデータ管理ソフトウェアソリューション。Limitedは、複雑なデータストレージと管理を簡素化し、オンラインデータへのアクセス性を向上させるソフトウェアアプリケーションの開発に専念しています。興味をお持ちですか?フィードバックとビジネスに関するお問い合わせはお気軽にお寄せください。すべての権利は保護されています。Street、ペントハウス、ダブリンD02KF25、アイルランド。Limited、企業登録番号574974。WindowsはMicrosoftの商標であり、米国およびその他の国で登録されています。Systems、Inc.および/またはその関連会社の登録商標です。