Jedna zgoda OAuth daje napastnikowi dostęp do poczty i plików mimo MFA

Jedno zatwierdzenie zgody OAuth wystarcza, żeby napastnik uzyskał trwały dostęp do poczty, plików i repozytoriów, mimo włączonego MFA, bez kradzieży hasła i bez malware. Według Dark Reading MFA zabezpiecza samo logowanie, ale nie kontroluje tego, co użytkownik autoryzuje po zalogowaniu. Link prowadzi do prawdziwego ekranu autoryzacji dostawcy chmury lub SaaS, a aplikacja wygląda niewinnie, na przykład jak narzędzie raportowe albo asystent przepływu pracy. Użytkownik jest już zalogowany, więc zatwierdza prośbę o uprawnienia rutynowo. Napastnik dostaje tokeny lub uprawnienia aplikacji i przez API przeszukuje skrzynki, przegląda pliki, pobiera kod źródłowy i zmienia ustawienia repozytoriów.

Kogo dotyczy

Firm korzystających z usług SaaS i chmury, w których użytkownicy mogą sami zatwierdzać aplikacje z dostępem do poczty, plików, repozytoriów, metadanych CI/CD lub platform biznesowych. Zakres dostępu zależy od dostawcy, typu aplikacji, polityki organizacji i przyznanych uprawnień. Sam OAuth nie jest wadliwy, działa zgodnie z projektem, czyli deleguje dostęp.

Co zrobić

Materiał wskazuje cztery działania obok MFA: nadzór nad OAuth, zakresy uprawnień ograniczone do minimum, monitorowanie udzielanych zgód oraz szybkie cofanie uprawnień i unieważnianie tokenów. Dostęp napastnika trwa do momentu takiego cofnięcia.