Las vulnerabilidades de seguridad descubiertas en la plataforma de comercio electr\u00f3nico de Honda podr\u00edan haberse aprovechado para obtener acceso sin restricciones a informaci\u00f3n confidencial del distribuidor.<\/p>\n
“Los controles de acceso rotos o faltantes permitieron acceder a todos los datos en la plataforma, incluso cuando se inici\u00f3 sesi\u00f3n como una cuenta de prueba”, el investigador de seguridad Eaton Zveare. dicho<\/a> en un informe publicado la semana pasada.<\/p>\n El plataforma<\/a> est\u00e1 dise\u00f1ado para la venta de equipos de energ\u00eda, negocios marinos, de c\u00e9sped y jard\u00edn. No afecta a la divisi\u00f3n de autom\u00f3viles de la compa\u00f1\u00eda japonesa.<\/p>\n El truco, en pocas palabras, explota un mecanismo de restablecimiento de contrase\u00f1a en uno de los sitios de Honda, Power Equipment Tech Express (PETE), para restablecer la contrase\u00f1a asociada con cualquier cuenta y obtener acceso completo a nivel de administrador.<\/p>\n Esto es posible gracias al hecho de que la API permite que cualquier usuario env\u00ede una solicitud de restablecimiento de contrase\u00f1a simplemente conociendo el nombre de usuario o la direcci\u00f3n de correo electr\u00f3nico y sin tener que ingresar una contrase\u00f1a vinculada a esa cuenta.<\/p>\n Armado con esta capacidad, un actor malintencionado podr\u00eda iniciar sesi\u00f3n y apoderarse de otra cuenta y, posteriormente, aprovechar la naturaleza secuencial de las URL del sitio del distribuidor (es decir, “admin.pedealer.honda[.]com\/dealersite\/ “Simplemente incrementando esa identificaci\u00f3n, podr\u00eda obtener acceso a los datos de todos los comerciantes”, explic\u00f3 Zveare. “El c\u00f3digo JavaScript subyacente toma esa identificaci\u00f3n y la usa en las llamadas API para obtener datos y mostrarlos en la p\u00e1gina. Afortunadamente, este descubrimiento hizo que la necesidad de restablecer m\u00e1s contrase\u00f1as fuera discutible”.<\/p>\n Para empeorar las cosas, la falla de dise\u00f1o podr\u00eda haberse utilizado para acceder a los clientes de un concesionario, editar su sitio web y sus productos y, lo que es peor, elevar los privilegios al administrador de toda la plataforma, una caracter\u00edstica restringida a los empleados de Honda, por medio de un dispositivo especialmente dise\u00f1ado. solicitud para ver los detalles de la red de distribuidores.<\/p>\n \ud83d\udd10 Dominio de la seguridad de API: comprensi\u00f3n de su verdadera superficie de ataque<\/p>\n Descubra las vulnerabilidades sin explotar en su ecosistema de API y tome medidas proactivas hacia una seguridad inquebrantable. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n \u00danase a la sesi\u00f3n<\/a><\/div>\n En total, las debilidades permitieron el acceso ileg\u00edtimo a 21 393 pedidos de clientes en todos los distribuidores desde agosto de 2016 hasta marzo de 2023, 1570 sitios web de distribuidores (de los cuales 1091 est\u00e1n activos), 3588 cuentas de distribuidores, 1090 correos electr\u00f3nicos de distribuidores y 11 034 correos electr\u00f3nicos de clientes.<\/p>\n Los actores de amenazas tambi\u00e9n podr\u00edan aprovechar el acceso a estos sitios web de comerciantes plantando c\u00f3digo de miner\u00eda de criptomonedas o skimmer, lo que les permitir\u00eda obtener ganancias il\u00edcitas. <\/p>\n Las vulnerabilidades, luego de la divulgaci\u00f3n responsable el 16 de marzo de 2023, han sido abordadas por Honda a partir del 3 de abril de 2023.<\/p>\n La divulgaci\u00f3n se produce meses despu\u00e9s de que Zveare detallara los problemas de seguridad en el Sistema de gesti\u00f3n de informaci\u00f3n de preparaci\u00f3n de proveedores globales de Toyota (GSPIMS<\/a>) y CRM C360<\/a> que podr\u00eda haberse aprovechado para acceder a una gran cantidad de datos corporativos y de clientes.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/06\/Pandilla-china-PostalFurious-ataca-a-usuarios-de-EAU-con-esquema.png\")
<\/a><\/center><\/div>\n![\"Comercio](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjbcr6h8pMk4Fwyu-nAbKIexgoK2fBxJxBqx_8jlQ7GyrRDBJ1n3sm9tn0psW32j7cYWzJbTTuDVpglTf-UDV4hWdeUxWHTF0hMnX9gJV4Vx6mTJaHQuuvs8tkgVuJnB4nt07UOkq54mwibqa1cyQ5OAQe6xSHXNsCNh6u0ZuTcurEMOGvPvrlRmV9V\/s728-e3650\/honda.jpg\" "\\"Comercio")
<\/div>\n