Уязвимость на сайте МАУ выдавала данные о пассажирах по коду брони, сейчас она уже закрыта

2148
1

На "Хабрахабре" вчера появилась статья об уязвимости на сайте Международных Авиалиний Украины (МАУ). И хотя сама уязвимость уже закрыта, механизм ее работы - достаточно примечателен. Пользователь под ником dinikin описал, как с помощью кода бронирования (PNR, passenger name record) можно было получить данные любого пассажира рейса.

По словам автора статьи, попав на сайт авиакомпании, он открыл инструменты разработчика в Google Chrome, чтобы понять, почему сайт долго грузится. «Изучив запросы к серверу, я увидел, что данные о доступных местах сервером возвращаются. Опробовав несколько разных браузеров, я так и не решил проблему, однако заметил, что запрос, который возвращает список доступных мест, выполнялся во всех браузерах успешно, не смотря на то, что сессионные куки были доступны только в Google Chrome», — пишет он. Запрос к серверу выглядел так: 

https://bookapi.flyuia.com/ancillary/seatmap?pnr=XXXXXX&currency=USD&flyuiacountrycode=uk&flyuialanguagecode=ru&locale=RU 

XXXXXX — это и есть код бронирования или же PNR. Ответ сервера во всех браузерах содержал данные о пассажире, которому принадлежит PNR — имя, класс, номер рейса, время отлета, место прибытия и так далее:

То есть, зная только код бронирования, можно было получить практически все данные о пассажире. Автор статьи пишет, что продолжая оформлять билет, выбрал пункт заказа места для багажа. В этом случае запрос имел вид https://bookapi.flyuia.com/ancillary/luggage?pnr=XXXXXX&currency=USD&locale=RU, а ответ сервера содержал еще и дату рождения пассажира. Переходя к странице оплаты, автор заметил ту же закономерность. На запрос https://bookapi.flyuia.com/payportal/transaction/123456?flyuiacountrycode=ua&flyuialanguagecode=ru&locale=RU сервер компании отдавал данные о платеже.

По словам автора статьи, на устранение уязвимости у компании ушел примерно месяц, и на момент выхода статьи ею воспользоваться было уже нельзя. 

Редакция ожидает официального комментария об уязвимости от компании МАУ. 

Напомним, ранее появились данные о том, что в интернете продается база якобы 500 000 клиентов компании «Нова пошта». 

Оставить комментарий

Комментарии | 1

  • Журналисты, когда копипастите и сокращаете чужой текст, хотя бы пытайтесь не выбрасывать главное.
    Главная уязвимость там была в том, что имея всего лишь один код бронирования, можно было узнать ID транзакции, который, просто увеличивался на единицу от пассажира к пассажиру. Последовательно перебирая эти ID, и делая запросы к странице оплаты, можно было без всякого брутфорса получить в ответ коды бронирования всех пассажиров. И затем, имея их коды бронирования, получить от сервера всю информацию об этих пассажирах.

Поиск