Новости компьютерной безопасности:

  Latest News

API Supply Chain Attack Exposes Millions of Airline Users Accounts to Hackers

С сайта: Vulnerability(cybersecuritynews.com)

API Supply Chain Attack Exposes Millions of Airline Users Accounts to Hackers

Author: Kaaviya Ragupathy

A vulnerability in a third-party travel service API has exposed millions of airline users to potential account takeovers, enabling attackers to exploit airline loyalty points and access sensitive personal information. 

The flaw, discovered by Salt Labs, highlights the risks associated with API supply chain integrations and underscores the need for stronger security measures in third-party service ecosystems.

The Vulnerability: Exploiting OAuth Redirects
The affected travel service, anonymized as “Acme Travel,” provides hotel and car rental booking solutions integrated into numerous commercial airline platforms. 

This integration allows users to book accommodations using their airline loyalty points. However, researchers identified a critical flaw in the OAuth authentication flow, specifically in the tr_returnUrl parameter.

In a normal login process:

  • Users are redirected from the airline’s website (e.g., www.saltairlines.sec) to Acme Travel’s portal (e.g., acme.saltairlines.sec).
  • Acme Travel generates an OAuth link and redirects users back to the airline’s site for authentication.
  • Upon successful login, a session token containing sensitive parameters (tr_code and tr_id) is sent back to Acme Travel.

Attackers exploited this flow by manipulating the tr_returnUrl parameter to redirect these credentials to an attacker-controlled domain. For instance:

  • Original URL: https://acme.saltairlines.sec/start?tr_returnUrl=https%3A%2F%2Facme.saltairlines.sec%2F
  • Malicious URL: https://acme.saltairlines.sec/start?tr_returnUrl=http://142.93.164.25/evil

cyber security newsAttacker takes control of the system
Once victims authenticated via the legitimate airline website, their session tokens were transmitted to the attacker’s server. These tokens allowed attackers to hijack accounts without further authentication.

“With this session token, the attacker can log into the system as the victim and perform actions on their behalf, including, of course, booking hotels and car rentals using nothing but the victim’s airline loyalty points”, researchers said.

Impact of the Attack
The implications of this vulnerability were severe:

  • Account Takeover: Attackers could impersonate users, accessing personal information and loyalty point balances.
  • Fraudulent Transactions: Unauthorized bookings for hotels and car rentals could be made using victims’ loyalty points.
  • Data Exposure: Personally identifiable information (PII) stored in user accounts was at risk.

This attack was particularly insidious because it leveraged legitimate domains and manipulated only URL parameters, making detection via standard security measures like domain inspection or blocklists challenging.

Further, the incident highlights the growing threat of API supply chain attacks, where vulnerabilities in third-party integrations can compromise entire ecosystems. APIs often serve as trust bridges between services but can become weak links if security is not rigorously enforced.

Following coordinated disclosure by Salt Labs, the vulnerability has been patched. The travel service implemented stricter validation for redirect URLs to prevent unauthorized domains from receiving sensitive tokens.



#API #Cyber_Security #Cyber_Security_News #Vulnerability

Оригинальная версия на сайте: API Supply Chain Attack Exposes Millions of Airline Users Accounts to Hackers
Вернуться к списку новостей К свежим новостям Здесь был google AdSense.
Вместо рекламы товаров началась политическая агитация.
Отключено до получения извинений.

Вернуться к списку новостей Здесь был google AdSense.
Вместо рекламы товаров началась политическая агитация.
Отключено до получения извинений.


Новости проекта CSN:

✉ CSN.net4me.net

Обновление сайта csn.net4me.net

Обновление сайта csn.net4me.net 💻
cyber security news
  • Физически мы переехали на новый сервер. Благодарим наших подписчиков и постоянных читателей за терпение и понимание.
  • Сайт csn.net4me.net полностью адаптирован для работы по шифрованному SSL соединению.
  • Изменен механизм обработки и отображения опасных и критических уязвимостей.

Благодарим что вы с нами.


#CSN_обновление_сайта
https://csn.net4me.net/cyber_security_8301.html

Дополнительный материал

О проекте CSN

Проект CSN.net4me.net родился 16 Марта 2018 года.
Проект находится в самом начале своего развития. Конечно оформление, наполнение будет меняться. Одно останется неизменным - самые свежие новости компьютерной и сетевой безопасности.

О проекте net4me

Проект net4me.net развивался как сборник готовых решений и документации по темам компьютерной безопасности, сетевых решений и СПО (в часности linux). Темпы развития IT отрасли оказались столь быстрыми, что некоторые знания, технологии и информация о них устаревали мгновенно. Тем не менее, некоторый материал net4me.net до сих пор востребован.

Об источниках

Новости берутся CSN из открытых и доступных каждому источников. Авторы проекта стараются подбирать авторитетные и проверенные источники. Но, тем не менее, не несут ответственности за содержимое новостей. В каждой новости указывается источник этой новости, её автор и ссылка на оригинал новости.

Информация

Если вы желаете чтобы новости вашего ресурса были размещены на сайте CSN, то свяжитесь с авторами проекта csn@net4me.net и предложите ссылку на rss или xml ленту новостей вашего ресурса. Любая предложенная информация будет рассмотрена редакцией.