Un ricercatore ha rivelato come è stato in grado di accedere alle informazioni di identificazione personale (PII) di potenzialmente 185 milioni di cittadini indiani e creare patenti di guida contraffatte.
Il 20 febbraio, lo studente e ricercatore di sicurezza informatica Robin Justin ha pubblicato un post sul blog contenente i dettagli delle vulnerabilità che interessano Sarathi Parivahan, il sito web del Ministero indiano dei trasporti stradali e delle autostrade.
Il portale consente ai cittadini di richiedere un permesso per studenti o una patente di guida. Justin stava tentando di richiedere quest'ultimo quando, in pochi minuti, si è imbattuto in endpoint con controlli di accesso interrotti e controlli di autorizzazione mancanti.
Per autenticarsi basta poco: un numero di domanda e la data di nascita del richiedente.
Tuttavia, è stato confermato che un endpoint destinato a controllare lo stato della domanda era difettoso, quindi un potenziale hacker poteva fornire un numero di domanda casuale per conoscere la data di nascita, il nome, l'indirizzo e il numero della patente di guida del richiedente associato, nonché estrarre una foto della persona .
Poiché la forzatura bruta dei numeri di applicazione casuali richiederebbe molto tempo, Justin ha esplorato ulteriormente il portale e ha trovato un secondo endpoint vulnerabile, che richiedeva solo un numero di telefono e la data di nascita della vittima per accedere al numero di applicazione.
Pochi minuti dopo, il ricercatore ha trovato una funzionalità di pubblico dominio che doveva essere riservata agli amministratori.
La funzione ha permesso a Justin di accedere ai documenti caricati da un richiedente, descritto dal ricercatore come un "
endpoint criticamente vulnerabile che si nasconde letteralmente in bella vista perché tutti possano usarlo".Ha continuato: “
Per ottenere il massimo impatto qui, dovremmo concatenare questo endpoint vulnerabile con quello che abbiamo trovato in precedenza, che ci ha fornito il numero dell'applicazione di un utente indiano con solo il numero di telefono e la data di nascita. Questo alla fine ci dà la possibilità di accedere ai documenti personali sensibili di qualsiasi indiano di cui conosciamo il numero di telefono e la data di nascita”.