Muhammad FaqihKeamanan aplikasi · Pengujian penetrasi
Skenario 02 / 19FAIL

Broken Object Level Authorization - Vehicle - Location Tracking

Lingkungan lab — bukan sistem produksi

Tangkapan layar dan trafik mentah tidak diterjemahkan; teks di dalamnya mungkin menggunakan bahasa lain.

crAPI/Evidence/[FAIL] Broken Object Level Authorization - Vehicle - Location Tracking

01 — Catatan

Catatan pengujian

Kerentanan

[FAIL] Broken Object Level Authorization - Vehicle - Location Tracking

Deskripsi

Endpoint lokasi kendaraan mengembalikan posisi GPS milik pengguna lain hanya berbekal UUID kendaraan. Server memverifikasi autentikasi tetapi tidak memverifikasi kepemilikan objek (BOLA/IDOR).

Dampak

Confidentiality: pelacakan lokasi fisik real-time pengguna lain serta kebocoran nama & email; berpotensi stalking/penargetan.

CWE

CWE-639: Authorization Bypass Through User-Controlled Key

OWASP

API1:2023 - Broken Object Level Authorization

Skenario

Normal: attacker membaca lokasi kendaraan miliknya sendiri -> 200. Eksploitasi: UUID diganti ke kendaraan korban -> 200 lokasi+email korban -> CIA (Confidentiality).

Endpoint

GET http://127.0.0.1:8888/identity/api/v2/vehicle/{vehicleId}/location

Fitur terdampak

Pelacakan Lokasi Kendaraan (crapi-identity)

Rekomendasi perbaikan

- Verifikasi kepemilikan kendaraan terhadap user pada token sebelum mengembalikan lokasi. - Terapkan pemeriksaan otorisasi tingkat objek terpusat.

Bukti konsep

1) (Screenshot 1) NORMAL: GET /identity/api/v2/vehicle/9b3ce26b-d797-404b-a961-09d7e45e0d1b/location (kendaraan sendiri) dengan token attacker -> 200. 2) (Screenshot 2) EKSPLOITASI + CIA: ganti UUID pada path menjadi 8ba9066d-8484-4ef7-8a7b-c0fa3cb2e687 (kendaraan KORBAN), token sama -> 200 mengembalikan koordinat GPS + email korban ([REDACTED-EMAIL]).
Lihat catatan sumber (bahasa Indonesia)
Vulnerability: [FAIL] Broken Object Level Authorization - Vehicle - Location Tracking

Description:
Endpoint lokasi kendaraan mengembalikan posisi GPS milik pengguna lain hanya berbekal UUID kendaraan. Server memverifikasi autentikasi tetapi tidak memverifikasi kepemilikan objek (BOLA/IDOR).

Impact:
Confidentiality: pelacakan lokasi fisik real-time pengguna lain serta kebocoran nama & email; berpotensi stalking/penargetan.

CWE:
CWE-639: Authorization Bypass Through User-Controlled Key

OWASP:
API1:2023 - Broken Object Level Authorization

Scenario:
Normal: attacker membaca lokasi kendaraan miliknya sendiri -> 200. Eksploitasi: UUID diganti ke kendaraan korban -> 200 lokasi+email korban -> CIA (Confidentiality).

Endpoint:
GET http://127.0.0.1:8888/identity/api/v2/vehicle/{vehicleId}/location

Affected Feature:
Pelacakan Lokasi Kendaraan (crapi-identity)

Remediation:
- Verifikasi kepemilikan kendaraan terhadap user pada token sebelum mengembalikan lokasi.
- Terapkan pemeriksaan otorisasi tingkat objek terpusat.

POC:
1) (Screenshot 1) NORMAL: GET /identity/api/v2/vehicle/9b3ce26b-d797-404b-a961-09d7e45e0d1b/location (kendaraan sendiri) dengan token attacker -> 200.
2) (Screenshot 2) EKSPLOITASI + CIA: ganti UUID pada path menjadi 8ba9066d-8484-4ef7-8a7b-c0fa3cb2e687 (kendaraan KORBAN), token sama -> 200 mengembalikan koordinat GPS + email korban ([REDACTED-EMAIL]).

02 — Tangkapan layar

Tangkapan layar (2)

01 / Normal: lokasi kendaraan sendiri

Alur normal: penyerang meminta lokasi kendaraannya sendiri (uuid 9b3ce26b-d797-404b-a961-09d7e45e0d1b) dan mendapat respons 200. Perilaku ini sesuai harapan.

02 / Dampak: lokasi korban terbuka

Dampak: UUID kendaraan diganti dengan UUID korban (8ba9066d-8484-4ef7-8a7b-c0fa3cb2e687), tetap menggunakan token penyerang yang sama. Response 200 mengembalikan koordinat GPS dan email korban. Kerahasiaan terdampak karena lokasi fisik pengguna lain dapat dilacak.

03 — Request dan response

Rekaman HTTP

Sebagian nilai kredensial disamarkan pada tampilan HTML publik ini. Penyamaran ini tidak menjamin bahwa seluruh data sensitif atau berkas tertaut sudah disamarkan.

REKAMAN 01 / 1Normal: lokasi kendaraan sendiri
HTTP request
GET /identity/api/v2/vehicle/9b3ce26b-d797-404b-a961-09d7e45e0d1b/location HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]
HTTP response
HTTP/1.1 200
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 177

{
  "carId": "9b3ce26b-d797-404b-a961-09d7e45e0d1b",
  "vehicleLocation": {
    "id": 4,
    "latitude": "38.206348",
    "longitude": "-84.270172"
  },
  "fullName": "Muhammad Faqih",
  "email": "[REDACTED-EMAIL]"
}

Alur normal: penyerang meminta lokasi kendaraannya sendiri (uuid 9b3ce26b-d797-404b-a961-09d7e45e0d1b) dan mendapat respons 200. Perilaku ini sesuai harapan.

REKAMAN 02 / 2Dampak: lokasi korban terbuka
HTTP request
GET /identity/api/v2/vehicle/8ba9066d-8484-4ef7-8a7b-c0fa3cb2e687/location HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]
HTTP response
HTTP/1.1 200
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 178

{
  "carId": "8ba9066d-8484-4ef7-8a7b-c0fa3cb2e687",
  "vehicleLocation": {
    "id": 5,
    "latitude": "37.406769",
    "longitude": "-94.705528"
  },
  "fullName": "Muhammad Faqih",
  "email": "[REDACTED-EMAIL]"
}

Dampak: UUID kendaraan diganti dengan UUID korban (8ba9066d-8484-4ef7-8a7b-c0fa3cb2e687), tetap menggunakan token penyerang yang sama. Response 200 mengembalikan koordinat GPS dan email korban. Kerahasiaan terdampak karena lokasi fisik pengguna lain dapat dilacak.