I ricercatori di sicurezza di Varonis hanno pubblicato dettagli sull’iniezione SQL e sulle vulnerabilità di accesso logico in Zendesk Explore che rappresentavano una grave minaccia per gli utenti della popolare piattaforma di servizio clienti.
Zendesk ha agito prontamente in risposta alle segnalazioni di vulnerabilità creando patch che non richiedevano alcuna azione da parte del cliente, secondo Varonis.
Questo è altrettanto positivo perché la vulnerabilità avrebbe consentito a potenziali malintenzionati di accedere a conversazioni, ticket, commenti, indirizzi e-mail e altre informazioni contenute negli account Zendesk nei casi in cui Explore era abilitato.
Il potenziale sfruttamento avrebbe comportato la prima registrazione di un utente malintenzionato al servizio di biglietteria come utente esterno di un account Zendesk mirato, una funzionalità comunemente abilitata. La struttura vulnerabile di Zendesk Explore non è abilitata per impostazione predefinita, ma è ancora ampiamente utilizzata perché alimenta la pagina degli approfondimenti analitici della piattaforma CRM.
Zendesk utilizza più API GraphQL nei suoi prodotti, in particolare nella console di amministrazione. Poiché GraphQL è un formato API relativamente nuovo, ciò ha spinto i ricercatori di sicurezza di Varonis Threat Labs a esplorare l'implementazione di Zendesk, in quella che si è rivelata una ricerca fruttuosa.
"
Questo metodo API accetta un oggetto JSON con Query XML, insieme a molti altri parametri XML, alcuni dei quali sono codificati in Base64", spiegano i ricercatori in un post sul blog tecnico. Zendesk ha risolto rapidamente i problemi in Explore con l'aiuto di Varonis Threat Labs, senza richiedere ai clienti di intraprendere alcuna azione.
