- 20,383
- 46
- 8 Ноя 2022
Такие просчёты бьют одновременно по приватности, репутации и операционной безопасности.
Два исследователя под псевдонимами BobDaHacker и BobTheShoplifter заявили, что обнаружили «катастрофические» уязвимости в системах Restaurant Brands International (RBI). Эта компания владеет такими сетями, как Burger King, Tim Hortons и Popeyes, объединяющими более 30 тысяч ресторанов по всему миру. По словам исследователей , взломать внутренние сервисы было проще простого — их блог даже сравнил защиту RBI «с оберткой от Воппера, промокшей под дождём». Технический отчёт вскоре удалили, но его копия сохранилась в архивах.
Уязвимости позволяли получить доступ к аккаунтам сотрудников, системам заказов и даже прослушивать записи переговоров на «драйв-тру». Кроме того, через административные интерфейсы можно было управлять планшетами в ресторанах, отправлять уведомления и оформлять заказы на оборудование. Всё это работало на доменах assistant.bk.com, assistant.popeyes.com и assistant.timhortons.com, обслуживающих все рестораны сети.
По словам авторов, попасть в систему удалось из-за того, что разработчики «забыли отключить регистрацию». Дальнейший анализ API и GraphQL открыл возможность обходить проверку e-mail, а пароли хранились в открытом виде. С помощью отдельного вызова createToken исследователи смогли назначить себе права администратора на всей платформе.
Ошибки встречались и в других сервисах RBI. В системе заказа оборудования пароль оказался жёстко прописан в коде HTML. На планшетах для обслуживания клиентов в «драйв-тру» использовался пароль admin. Вдобавок хакеры нашли незащищённые аудиозаписи заказов, которые используются для обучения систем анализа качества работы ресторанов. Иногда в них содержались персональные данные клиентов.
Исследователи подчёркивают, что не сохраняли пользовательскую информацию и действовали по правилам ответственного раскрытия уязвимостей. Однако компания, по их словам, не поблагодарила их за найденные ошибки. В заключение они добавили ироничное замечание: «Вендис всё равно лучше».
Два исследователя под псевдонимами BobDaHacker и BobTheShoplifter заявили, что обнаружили «катастрофические» уязвимости в системах Restaurant Brands International (RBI). Эта компания владеет такими сетями, как Burger King, Tim Hortons и Popeyes, объединяющими более 30 тысяч ресторанов по всему миру. По словам исследователей , взломать внутренние сервисы было проще простого — их блог даже сравнил защиту RBI «с оберткой от Воппера, промокшей под дождём». Технический отчёт вскоре удалили, но его копия сохранилась в архивах.
Уязвимости позволяли получить доступ к аккаунтам сотрудников, системам заказов и даже прослушивать записи переговоров на «драйв-тру». Кроме того, через административные интерфейсы можно было управлять планшетами в ресторанах, отправлять уведомления и оформлять заказы на оборудование. Всё это работало на доменах assistant.bk.com, assistant.popeyes.com и assistant.timhortons.com, обслуживающих все рестораны сети.
По словам авторов, попасть в систему удалось из-за того, что разработчики «забыли отключить регистрацию». Дальнейший анализ API и GraphQL открыл возможность обходить проверку e-mail, а пароли хранились в открытом виде. С помощью отдельного вызова createToken исследователи смогли назначить себе права администратора на всей платформе.
Ошибки встречались и в других сервисах RBI. В системе заказа оборудования пароль оказался жёстко прописан в коде HTML. На планшетах для обслуживания клиентов в «драйв-тру» использовался пароль admin. Вдобавок хакеры нашли незащищённые аудиозаписи заказов, которые используются для обучения систем анализа качества работы ресторанов. Иногда в них содержались персональные данные клиентов.
Исследователи подчёркивают, что не сохраняли пользовательскую информацию и действовали по правилам ответственного раскрытия уязвимостей. Однако компания, по их словам, не поблагодарила их за найденные ошибки. В заключение они добавили ироничное замечание: «Вендис всё равно лучше».
- Источник новости
- www.securitylab.ru
