La compañía de viajes Uber recientemente reparó una vulnerabilidad en su sitio que podría haber permitido a un atacante iniciar sesión en algunos sitios ".uber.com" sin una contraseña y comprometer su red interna.

Uber recompensó a Jouko Pynnönen, investigador finlandés de seguridad, con 10 mil dólares por descubrir la falla el mes pasado. Esta es la más alta recompensa que la empresa ha pagado desde que lanzó el programa a principios de este año.

El exploit está conformado por dos partes, de acuerdo a Pynnönen. Una permite eludir al sistema que Uber utiliza para la autenticación de sus empleados, OneLogin, y otra que podría haber permitido a un atacante comprometer la red interna de Uber, alojando el software de colaboración Confluence de Atlassian.

Pynnönen, quien trabaja para la firma Klikki Oy, dijo a Threatpost a principios de mes que la falla en el inicio de sesión que encontró podría ser utilizada para comprometer un servidor que utiliza WordPress, como el sitio PR de Uber newsroom.uber.com.

De acuerdo al investigador, el plugin de WordPress enviado por OneLogin contenía una falla que permitía a un atacante la capacidad de proporcionar cualquier nombre de usuario, dirección de correo electrónico, nombre o rol que quisieran.

"Si el nombre de usuario no existía aún en la base de datos de WordPress, entonces el plugin podría crear un nuevo usuario," Pynnönen escribió en su visión general sobre el fallo en HackerOne.

En un sitio, eng.uber.com, él fue capaz de crear una cuenta de "Suscriptor", mientras en otra, el sitio newsroom.uber.com, creó una cuenta de "Administrador", simplemente adivinando el nombre de la función.

Tras tener privilegios como administrador en el sitio Newsroom, descubrió que era capaz de seguir y atacar el sitio interno, ya que la mayor parte de las páginas en este sitio interno, team.buerinternal.com, refiere a un script alojado sobre el sitio Newsroom.

La segunda parte de la vulnerabilidad de Pynnönen es la habilidad para modificar el archivo JavaScript, adrum.js, para comprometer la red interna de Uber.

De acuerdo al investigador, un atacante podría haber alcanzado codigos de ejecución vía remota el sitio comprometido, porque JavaScript puede ser inyectado desde el sitio Newsroom dentro del ambiente Confluence. Pynnönen describe un ejemplo específico en el cual después de ser guardado, un código podría ser instalado y crear una puerta trasera en servlet.