Устранены бреши в сервисе Pocket, поддержка которого недавно была добавлена в Firefox

Разработчики online-приложения Pocket устранили ряд уязвимостей в сервисе, эксплуатация которых позволяла пользователям осуществить эксфильтрацию данных с серверов компании, в том числе важную информацию, касающуюся web-служб, локальных IP-адресов и пр.

Pocket, ранее известный как Read it Later, представляет собой сервис отложенного чтения. Используя программу, можно сохранять публикации, найденные в сети или приложениях, а затем работать с сохраненным материалом везде, даже в режиме оффлайн.

Уязвимости обнаружил исследователь Клинт Руохо (Clint Ruoho), решивший проверить безопасность приложения после его интеграции в интернет-обозреватель Mozilla Firefox в июне нынешнего года.

Эксперт заметил, что Pocket в некоторых аспектах служит в качестве локального прокси. После отправки запроса через Apache модуль mod_status, который генерирует страницу статистики работы web-сервера, мог отображать ограниченное количество информации о пользователях сервиса, в том числе локальные IP-адреса, параметры запрашиваемых URL, а также параметры запросов.

Помимо того, через манипуляции с URL file:// оказалось возможным получить содержимое системных файлов из серверных окружений Amazon EC2, которые используются для обеспечения работы Pocket.

Проблема была обнаружена после попытки отложить в Pocket ссылку http://127.0.0.1/server-status, что привело к появлению на другом синхронизированном устройстве содержимого страницы со статистикой работы сервера. Попытавшись сохранить страницу, при открытии которой выдается редирект на URL file:///etc/passwd, эксперту удалось получить содержимое файла /etc/passwd и использовать подобный метод для чтения других файлов с сервера, например, закрытых SSH-ключей текущего пользователя.