Dietro la cortina di fulmini: dentro la missione di AuraInspector per svelare i rischi nascosti dei dati in Salesforce

È il tipo di scenario che tiene svegli i team di sicurezza la notte: una piattaforma enterprise ampiamente utilizzata, a cui si affida la protezione di registri finanziari e sanitari, che finisce per far trapelare silenziosamente dati sensibili attraverso crepe trascurate. Questa settimana, lo strumento AuraInspector di Mandiant ha sollevato il sipario su Experience Cloud, uno dei prodotti più popolari di Salesforce, rivelando quanto facilmente un passo falso nella configurazione possa consegnare agli attaccanti le chiavi del regno.

Fatti in breve

• Mandiant ha rilasciato AuraInspector, uno strumento open source da riga di comando per verificare le configurazioni Aura di Salesforce.
• Lo strumento individua errate configurazioni dei controlli di accesso che potrebbero esporre record sensibili negli ambienti Experience Cloud.
• Gli attaccanti possono sfruttare permessi deboli per accedere ai dati tramite endpoint Aura, anche usando tecniche avanzate come i controller GraphQL.
• AuraInspector automatizza l’individuazione di esposizioni rischiose, come l’accesso guest eccessivamente permissivo e l’auto-registrazione configurata in modo errato.
• Salesforce sostiene che non si tratti di vulnerabilità se i permessi sono impostati correttamente, ma le errate configurazioni restano comuni e pericolose.

Il framework Aura di Salesforce alimenta le interfacce utente e i portali dall’aspetto curato di Lightning Experience ed Experience Cloud. Sotto quella patina, però, si nasconde un sistema complesso di endpoint e controller - ognuno dei quali può diventare un vettore di esposizione dei dati se non viene bloccato con rigore. Secondo la ricerca di Mandiant, questi livelli di configurazione spesso mettono in difficoltà anche amministratori esperti, creando punti ciechi che gli attaccanti sono ben felici di sfruttare.

AuraInspector si concentra proprio su queste debolezze. Lo strumento esegue scansioni alla ricerca di endpoint esposti, registra gli URL delle liste di record e le interfacce “home” che potrebbero, involontariamente, far trapelare viste amministrative o dataset sensibili. Una delle sue funzionalità di punta è la capacità di verificare accessi guest o autenticati configurati in modo errato, rivelando quando regole di condivisione o permessi sono impostati in maniera troppo ampia. Ancora più preoccupante è l’individuazione di controller Aura GraphQL, che possono facilitare il recupero massivo di dati e rendere più semplice per gli attaccanti enumerare ed estrarre record - talvolta aggirando i limiti tradizionali di Salesforce.

Lo strumento evidenzia anche i pericoli delle funzionalità di auto-registrazione configurate male. Se lasciate senza controlli, possono consentire agli attaccanti di creare account autenticati e sondare più a fondo i dati di un’organizzazione. Pur sostenendo Salesforce che i suoi sistemi siano sicuri quando configurati correttamente, i risultati di AuraInspector sottolineano una dura realtà: nel mondo reale, la complessità genera errori, e gli errori generano violazioni.

Automatizzando il lavoro tedioso di scoperta degli endpoint e di verifica dei permessi, AuraInspector fornisce ai team di sicurezza la visibilità di cui hanno disperatamente bisogno. Come ha rilevato il testing interno di Google, lo strumento può identificare rapidamente dove l’accesso guest è troppo permissivo o l’auto-registrazione è lasciata aperta, offrendo ai difensori una concreta possibilità di irrigidire i controlli prima che gli avversari si infilino nelle crepe.

Per le organizzazioni che si affidano a Experience Cloud di Salesforce, AuraInspector è un campanello d’allarme. Anche le piattaforme più robuste possono essere compromesse da errori umani e da errate configurazioni nascoste. Nel mondo ad alta posta dei dati enterprise, la differenza tra sicurezza ed esposizione potrebbe essere una singola impostazione trascurata.

WIKICROOK

• Framework Aura: il Framework Aura è il framework UI open source di Salesforce, che alimenta Lightning Experience ed Experience Cloud con componenti riutilizzabili e dinamici per applicazioni web.
• Endpoint: un endpoint è qualsiasi dispositivo, come un computer o uno smartphone, che si connette a una rete e deve essere mantenuto sicuro e aggiornato per prevenire minacce informatiche.
• Controllo degli accessi: il controllo degli accessi definisce regole e utilizza strumenti per decidere chi può visualizzare, usare o modificare sistemi informatici e dati sensibili, proteggendoli da accessi non autorizzati.
• Controller GraphQL: un controller GraphQL elabora le query dei client, gestisce l’accesso ai dati e applica la sicurezza nelle applicazioni web che usano il linguaggio GraphQL.
• Self: il self-preferencing è quando un’azienda favorisce ingiustamente i propri prodotti o servizi rispetto alle offerte dei concorrenti, spesso incidendo sulla concorrenza e sulla scelta dei consumatori.