Исследователь сообщает о потенциальной проблеме безопасности, связанной с захватом учетных записей в программе Lychee Slicer

Lychee Slicer — продукт компании Mango3D. Это один из немногих сторонних инструментов для нарезки моделей для 3D-печати — большинство слайсеров напрямую связаны с производителем 3D-принтера. Хотя Mango3D предлагает бесплатную «облегченную» версию, компания поддерживает продукт платными подписками, предоставляющими доступ к более продвинутым функциям.

Из-за наличия подписки для использования функции нарезки необходимо войти в систему.

Уязвимость в системе безопасности была обнаружена пользователем «JollyOrc» во время смены адреса электронной почты в учетной записи. Они пишут:

«Месяц назад я нашел способ получить доступ к любому аккаунту клиента Mango3D, при условии, что вам известны его имя и адрес электронной почты, а возможно, и страна проживания».

Процесс изменения адреса электронной почты обычно довольно сложен в любом сервисе, но в Mango3D он реализован необычно. По данным JollyOrc, в компанию отправляется форма с запросом на изменение, а подтверждением права собственности на аккаунт служит простой скриншот окна панели управления аккаунта.

Проблема в том, что панель управления имеет тривиальный дизайн и её невероятно легко смоделировать. Всё, что вам нужно знать, это адрес электронной почты аккаунта и имя клиента, а возможно, и страну. Никто в Mango3D не сможет определить, настоящий скриншот или поддельный.

Если злоумышленник воспользуется этим методом, он получит доступ к учетной записи жертвы и, следовательно, ко всем имеющимся файлам. Тарифные планы Lychee Slicer предлагают как облачное, так и локальное резервное копирование, поэтому, предположительно, доступ к облачным резервным копиям также возможен. Это означает, что задания печати могут оказаться под угрозой, а в некоторых случаях это может иметь очень негативные последствия.

Компания JollyOrc заявила, что уведомила Mango3D в конце июля, но не получила никаких подтверждений того, что проблема решена или даже начался процесс ее устранения. В связи с этим они решили публично сообщить о проблеме.

Я надеюсь, что Mango3D признает проблему и немедленно ее исправит.

Источник Оркпиратен и Личи

Центр 3d печати и 3д сканирования Фидллер в Краснодаре — 3d сканирование, 3d печать, реверс инжиниринг, проекты для ферм 3d печати, обучение, проектирование для строительства. Теперь полный цикл «принцип одного окна». Более 10 лет успешной разработки в сфере аддитивных технологий.

По всем вопросам обращаться (круглосуточно):

телеграм — https://t.me/fidller (лучше max или звонить)

max — https://max.ru/u/f9LHodD0cOIGiBB1zqbYHFbw7XCslKRI5o6aikK4IGNDZtFio4aCgGJ1gUQ

почта — shope@fidller.com

вк — https://vk.com/3d_krd_123

группа в max https://max.ru/join/VFTRpp8v45PETzoL4RDGQi44sSjpSvRz5kDtyeyXiQE

Наши ресурсы:

все о кино тут — https://news.fidller.com
наш магазин — https://fidller.com
мы в телеграм — https://t.me/pechat3dkrd

теперь и max — https://max.ru/join/VFTRpp8v45PETzoL4RDGQi44sSjpSvRz5kDtyeyXiQE

группа 3д печати — https://vk.com/3d_krd_123