Как стать автором
Обновить

У Scalaxy неделю присутствовала дыра в безопасности API

Время на прочтение1 мин
Количество просмотров2.5K
Началось все с того, что 15го марта в Оверсане проводили обновление ПО Scalaxy. Несколько часов не работала панель управления облаком.
Когда она наконец заработала, мне понадобилось настроить включение сервера по API. Увы, список серверов в моем «проекте» мне не выдавался — таймаут соединения. «Не подняли API еще» — подумал я и как-то забыл на неделю. Сегодня попробовал опять, и был крайне неприятно удивлен…

За неделю ничего не поменялось.
Подумал — увеличил таймаут с 5 до 60 секунд. Получаю JSON на 2.7МБ. Смотрю внутрь — а там, похоже, вместо списка моих серверов — все сервера облака.
Первым делом отписал в поддержку, потом пошел смотреть что можно делать с серверами(Естественно на другом своем аккаунте, чужие сервера мне не нужны).
Запросы API имеют вид www.scalaxy.ru/api/projects/ID_ПРОЕКТА/instances/ID_ИНСТАНСА/ДЕЙСТВИЕ.json
Первая попытка с правильными ID, выдала мне запрет доступа.
После смены реального ID проекта на ID проекта на аккаунте, с которого делался запрос я успешно получил информацию по инстансу.
Дальше решил попробовать включить инстанс но, так как я не шибко торопился, к этому времени баг уже закрыли, потому точно ответить на вопрос можно ли было включать/менять/удалять инстансы на других аккаунтах я не могу, но имею все основания считать что можно.

В сухом остатке:
1)Неделю можно было по API как минимум просматривать информацию о всех серверах облака, а, возможно, и управлять ими.
2)Время устранения проблемы после обращения в поддержку через тикеты 30-45минут.
Теги:
Хабы:
Всего голосов 83: ↑62 и ↓21+41
Комментарии35

Публикации

Истории

Работа

Ближайшие события

19 сентября
CDI Conf 2024
Москва
24 сентября
Конференция Fin.Bot 2024
МоскваОнлайн
30 сентября – 1 октября
Конференция фронтенд-разработчиков FrontendConf 2024
МоскваОнлайн