Control de acceso inadecuado en la API REST de Hiperdino

Se ha coor­di­na­do la di­vul­ga­ción de una falla de se­gu­ri­dad de ca­rác­ter crí­ti­co que im­pac­ta la in­ter­faz de pro­gra­ma­ción de apli­ca­cio­nes REST de Hi­per­dino, es­pe­cí­fi­ca­men­te en su ver­sión ini­cial, la cual fun­cio­na como un en­la­ce para eje­cu­tar ope­ra­cio­nes au­to­ma­ti­za­das y si­mul­tá­neas. Este fallo fue iden­ti­fi­ca­do por Jorge Ramos San­ta­na y ca­ta­lo­ga­do ofi­cial­men­te bajo los iden­ti­fi­ca­do­res y mé­tri­cas co­rres­pon­dien­tes, se­ña­lan­do un pro­ble­ma de con­trol de ac­ce­so in­de­bi­do sin que exis­ta hasta el mo­men­to un par­che o so­lu­ción dis­po­ni­ble.

El fallo ra­di­ca en el punto de ac­ce­so pú­bli­co de­sig­na­do para la com­pro­ba­ción de clien­tes, el cual po­dría po­si­bi­li­tar que un usua­rio con ac­ce­so in­tro­duz­ca un co­rreo elec­tró­ni­co o un nú­me­ro te­le­fó­ni­co para ve­ri­fi­car si co­rres­pon­de a un clien­te re­gis­tra­do en la pla­ta­for­ma. Al cum­plir­se esta con­di­ción, el sis­te­ma ex­po­ne los datos vin­cu­la­dos, re­qui­rien­do úni­ca­men­te un token es­tá­ti­co de por­ta­dor, sin im­ple­men­tar res­tric­cio­nes en la ve­lo­ci­dad de las pe­ti­cio­nes ni un ma­ne­jo ge­ne­ral de erro­res.

La co­rrec­ta ex­plo­ta­ción de este pro­ble­ma de di­vul­ga­ción in­for­ma­ti­va daría la opor­tu­ni­dad a un ata­can­te que actúe de forma re­mo­ta de re­co­pi­lar los datos de con­tac­to de los usua­rios, para lo cual es ne­ce­sa­rio con­se­guir pre­via­men­te un token es­tá­ti­co de por­ta­dor que sea vá­li­do.