Divulgación no autorizada de información en el servicio web de facturación de Copart

Se ha coor­di­na­do la di­vul­ga­ción de una falla de se­gu­ri­dad cla­si­fi­ca­da como crí­ti­ca que im­pac­ta al ser­vi­cio web de fac­tu­ra­ción de Co­part, un sis­te­ma uti­li­za­do para co­nec­tar a com­pra­do­res y ven­de­do­res a nivel glo­bal. El ha­llaz­go de esta vul­ne­ra­bi­li­dad fue rea­li­za­do por Mario Romeo Lá­za­ro a tra­vés de la coor­di­na­ción de INCIBE.

El fallo de se­gu­ri­dad ha sido re­gis­tra­do bajo el có­di­go iden­ti­fi­ca­dor co­rres­pon­dien­te y cuen­ta con su res­pec­ti­va pun­tua­ción y vec­tor CVSS, ade­más de estar ca­ta­lo­ga­do den­tro de un tipo es­pe­cí­fi­co de de­bi­li­dad CWE. Hasta el mo­men­to, el re­por­te in­di­ca que no exis­te nin­gu­na so­lu­ción dis­po­ni­ble para este pro­ble­ma.

La vul­ne­ra­bi­li­dad con­sis­te en la ex­po­si­ción de datos con­fi­den­cia­les den­tro de la pla­ta­for­ma di­gi­tal de fac­tu­ra­ción des­ti­na­da a los clien­tes. Esto per­mi­te que usua­rios sin au­to­ri­za­ción ac­ce­dan a in­for­ma­ción de ca­rác­ter fi­nan­cie­ro y de iden­ti­fi­ca­ción per­so­nal, tales como do­mi­ci­lios, nom­bres, de­ta­lles de pagos, datos fis­ca­les y nú­me­ros de fac­tu­ras.

El ori­gen de esta si­tua­ción se atri­bu­ye a la au­sen­cia de va­li­da­cio­nes de au­to­ri­za­ción en el punto final del sis­te­ma que se en­car­ga de pro­por­cio­nar los ar­chi­vos PDF co­rres­pon­dien­tes a las fac­tu­ras. Adi­cio­nal­men­te, se ha ob­ser­va­do que cier­tos en­la­ces a estos do­cu­men­tos de fac­tu­ra­ción pue­den en­con­trar­se dis­po­ni­bles pú­bli­ca­men­te me­dian­te mo­to­res de bús­que­da, re­ve­lan­do rutas de ar­chi­vos pri­va­dos y per­mi­tien­do que un ata­can­te po­ten­cial ob­ten­ga ac­ce­so no au­to­ri­za­do a in­for­ma­ción me­dian­te la pre­dic­ción de iden­ti­fi­ca­do­res.