Kerentanan dalam arsip Amerika dari situs web penyiaran publik memungkinkan pengunduhan media yang dilindungi dan pribadi selama bertahun -tahun, dengan cacat yang diam -diam ditambal bulan ini.
BleepingComputer diberi tahu tentang cacat oleh seorang peneliti keamanan siber yang meminta untuk tetap anonim, yang menyatakan bahwa cacat telah dieksploitasi sejak setidaknya tahun 2021, bahkan setelah peneliti sebelumnya melaporkannya ke organisasi.
Setelah menghubungi AAPB tentang cacat itu, seorang juru bicara mengkonfirmasi masalah tersebut, dan peneliti memvalidasi bahwa perbaikan itu diimplementasikan dalam waktu 48 jam.
“Kami berkomitmen untuk melindungi dan melestarikan materi arsip di AAPB dan telah memperkuat keamanan untuk arsip,” kata manajer komunikasi AAPB, Emily Balk, untuk BleepingComputer.
“Kami berharap dapat terus membuat sejarah media publik gratis dan dapat diakses oleh publik.”
American Archive, yang dioperasikan oleh WGBH Educational Foundation (GBH) dan Library of Congress, adalah arsip nirlaba publik yang misinya akan mengumpulkan, mendigitalkan, dan melestarikan konten yang signifikan secara historis yang diproduksi oleh radio publik dan televisi di Amerika Serikat.
BleepingComputer diberitahu bahwa kerentanan AAPB pertama kali beredar sebagai desas -desus dalam diskusi online tentang kebocoran episode “Wicked Witch of the West” di jalanan Wiki Discord Channel yang hilang.
Lost Media Wiki mengalahkan episode itu, mengatakan bahwa itu “kemungkinan diperoleh dalam pelanggaran data ilegal,” mendesak anggota untuk menahan diri dari berbagi kembali di saluran perselisihannya.
Awalnya rahasia, metode eksploitasi mulai beredar dalam kelompok pelestarian perselisihan pada pertengahan 20124, yang mengarah pada kebocoran lebih lanjut konten yang dilindungi pada server perselisihan yang berfokus pada pelestarian konten.
Dikenal sebagai penimbun data, komunitas -komunitas ini mendedikasikan diri mereka untuk pengarsipan perangkat lunak, situs web, sistem operasi, dan berbagai bentuk media, termasuk acara TV, musik, dan film. Namun, mereka sering beroperasi di area abu -abu, di mana konten yang dilindungi hak cipta dilestarikan dan dibagikan, mengaburkan garis dengan pembajakan digital.
Bahkan dengan upaya pencopotan AAPB, eksploitasi terus beredar di berbagai server perselisihan dan aplikasi pesan, dengan bukti konsep yang dibagikan dengan bleepingComputer yang menunjukkan betapa mudahnya penyalahgunaan.
Eksploitasi yang dibagikan dengan BleepingComputer adalah skrip Tampermonkey sederhana yang mengeksploitasi cacat objek langsung yang tidak aman (IDOR) cacat, yang memungkinkan pengguna untuk meminta file media dengan ID dan memotong kontrol akses AAPB.
Bug memungkinkan pengguna untuk mengubah parameter ID media dalam permintaan akses media, memungkinkan mereka untuk mengakses sumber daya dengan ID, bahkan jika mereka dilindungi atau pribadi.
Meskipun halaman utama /media /{ID} memiliki beberapa kontrol akses, penyerang dapat memotongnya dengan merusak dengan panggilan fetch atau xmlhttpRequest yang dilakukan di latar belakang.
Alih -alih server AAPB menolak permintaan tersebut dengan kesalahan ‘403 terlarang’, selama permintaan tersebut memiliki ID media yang valid, konten tersebut dilayani.
Sementara kerentanan sekarang telah diperbaiki, tidak diketahui berapa banyak konten yang diakses dan dibagikan dalam komunitas hoarder data.
Kebocoran konten di arsip Amerika mengikuti insiden lain awal tahun ini, di mana Informasi kontak karyawan PBS bocor dan menyebar melalui server perselisihan untuk penggemar ‘PBS Kids.’
Kedua insiden menggambarkan bagaimana arsip dan komunitas penggemar dapat memperoleh akses ke data sensitif atau pribadi, bahkan ketika itu tidak digunakan untuk tujuan jahat.
