Les vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 d\u00e9couvertes dans la plate-forme de commerce \u00e9lectronique de Honda auraient pu \u00eatre exploit\u00e9es pour obtenir un acc\u00e8s illimit\u00e9 aux informations sensibles des concessionnaires.<\/p>\n
“Les contr\u00f4les d’acc\u00e8s cass\u00e9s\/manquants ont permis d’acc\u00e9der \u00e0 toutes les donn\u00e9es sur la plate-forme, m\u00eame en \u00e9tant connect\u00e9 en tant que compte de test”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Eaton Zveare. a dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n Le plateforme<\/a> est con\u00e7u pour la vente d’\u00e9quipements \u00e9lectriques, d’entreprises marines, de pelouse et de jardin. Cela n’affecte pas la division automobile de la soci\u00e9t\u00e9 japonaise.<\/p>\n Le hack, en un mot, exploite un m\u00e9canisme de r\u00e9initialisation de mot de passe sur l’un des sites de Honda, Power Equipment Tech Express (PETE), pour r\u00e9initialiser le mot de passe associ\u00e9 \u00e0 n’importe quel compte et obtenir un acc\u00e8s complet au niveau administrateur.<\/p>\n Ceci est rendu possible gr\u00e2ce au fait que l’API permet \u00e0 tout utilisateur d’envoyer une demande de r\u00e9initialisation de mot de passe simplement en connaissant simplement le nom d’utilisateur ou l’adresse e-mail et sans avoir \u00e0 saisir un mot de passe li\u00e9 \u00e0 ce compte.<\/p>\n Arm\u00e9 de cette capacit\u00e9, un acteur malveillant pourrait se connecter et prendre le contr\u00f4le d’un autre compte, puis profiter de la nature s\u00e9quentielle des URL du site du concessionnaire (par exemple, “admin.pedealer.honda[.]com\/dealersite\/ “Juste en incr\u00e9mentant cet identifiant, je pouvais acc\u00e9der aux donn\u00e9es de tous les concessionnaires”, a expliqu\u00e9 Zveare. “Le code JavaScript sous-jacent prend cet identifiant et l’utilise dans les appels d’API pour r\u00e9cup\u00e9rer des donn\u00e9es et les afficher sur la page. Heureusement, cette d\u00e9couverte a rendu inutile la r\u00e9initialisation de tout autre mot de passe.”<\/p>\n Pour aggraver les choses, le d\u00e9faut de conception aurait pu \u00eatre utilis\u00e9 pour acc\u00e9der aux clients d’un concessionnaire, modifier son site Web et ses produits, et pire encore, \u00e9lever les privil\u00e8ges \u00e0 l’administrateur de l’ensemble de la plate-forme – une fonctionnalit\u00e9 r\u00e9serv\u00e9e aux employ\u00e9s de Honda – au moyen d’un outil sp\u00e9cialement con\u00e7u. demander \u00e0 voir les d\u00e9tails du r\u00e9seau de concessionnaires.<\/p>\n \ud83d\udd10 Ma\u00eetriser la s\u00e9curit\u00e9 des API\u00a0: Comprendre votre v\u00e9ritable surface d’attaque<\/p>\n D\u00e9couvrez les vuln\u00e9rabilit\u00e9s inexploit\u00e9es de votre \u00e9cosyst\u00e8me d’API et prenez des mesures proactives pour une s\u00e9curit\u00e9 \u00e0 toute \u00e9preuve. Rejoignez notre webinaire perspicace !<\/p>\n Rejoindre la s\u00e9ance<\/a><\/div>\n Au total, les faiblesses ont permis un acc\u00e8s ill\u00e9gitime \u00e0 21 393 commandes de clients chez tous les concessionnaires d’ao\u00fbt 2016 \u00e0 mars 2023, 1 570 sites Web de concessionnaires (dont 1 091 sont actifs), 3 588 comptes de concessionnaires, 1 090 e-mails de concessionnaires et 11 034 e-mails de clients.<\/p>\n Les acteurs de la menace pourraient \u00e9galement tirer parti de l’acc\u00e8s \u00e0 ces sites Web de revendeurs en plantant un \u00e9cumeur ou un code d’extraction de crypto-monnaie, leur permettant ainsi de r\u00e9colter des profits illicites. <\/p>\n Les vuln\u00e9rabilit\u00e9s, suite \u00e0 la divulgation responsable du 16 mars 2023, ont \u00e9t\u00e9 corrig\u00e9es par Honda le 3 avril 2023.<\/p>\n La divulgation intervient des mois apr\u00e8s que Zveare a d\u00e9taill\u00e9 les probl\u00e8mes de s\u00e9curit\u00e9 dans le syst\u00e8me mondial de gestion des informations de pr\u00e9paration des fournisseurs de Toyota (GSPIMS<\/a>) et CRM C360<\/a> qui auraient pu \u00eatre exploit\u00e9es pour acc\u00e9der \u00e0 une multitude de donn\u00e9es d’entreprise et de clients.<\/p>\n <\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgJAjUQq6Q-jnCUYYsXW9S62xJXyCmVlxF__fI5R0hdBdqBD6x-3aAoH7eBcc_FJ1C5b7gUMEbhDvqoDNQli6GCY7zdtiROqBsEwJdQK0GJsddjJY20zaFbXObbbtlW838TLd_DI5fQQ-ug4-jw3mfW8-n6MUytcojduvyOtnjbOxtv7BM36WV4bPSbLQ\/s728-e200\/netspi-728-2.jpg\")
<\/a><\/center><\/div>\n![\"Commerce](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1686564242_892_Le-piratage-de-reinitialisation-du-mot-de-passe-expose-dans.jpg\" "\\"Commerce")
<\/div>\n