IT之家 10 月 24 日消息，科技媒體 techradar 昨日（10 月 23 日）發(fā)布博文，報道稱 F1 管理機構(gòu)國際汽聯(lián)（FIA）官網(wǎng)存在嚴重漏洞，可竊取所有 F1 車手的個人身份信息（PII），包括護照和駕照的詳細資料。

研究人員 Ian Carroll、Gal Nagli 和 Sam Curry 通過該漏洞，他們成功訪問了賽道上每一位 F1 車手的個人身份信息。幸運的是，目前沒有證據(jù)表明有不法分子利用此漏洞竊取數(shù)據(jù)，并且該缺陷現(xiàn)已被修復。

IT之家援引博文介紹，此次安全事件的突破口是國際汽聯(lián)的車手分級網(wǎng)站。由于車手每年都需通過該網(wǎng)站更新用以參賽的超級駕照，因此該門戶網(wǎng)站是公開的，任何人都可以申請賬戶。

研究人員正是利用了這一點，創(chuàng)建了自己的駕照賬戶。在更新個人資料時，他們發(fā)現(xiàn)服務器返回的信息超出了他們輸入的內(nèi)容。例如，當編輯姓名和郵箱時，服務器不僅會返回這些信息，還會額外發(fā)回出生日期和一個關鍵字段 ——“角色”（role）。

這個“角色”字段代表了賬戶的訪問權(quán)限，如“車手”、“FIA 員工”或“管理員”。于是，研究人員利用一個名為“大規(guī)模分配”（Mass Assignment）的常見 API 漏洞，在更新個人信息的請求中，簡單地將自己的角色修改為了“admin”（管理員），從而輕易獲得了系統(tǒng)的最高權(quán)限。

獲得管理員權(quán)限后，研究人員可以訪問系統(tǒng)內(nèi)的一切數(shù)據(jù)。這不僅包括所有 F1 車手的駕照申請資料，還包括他們上傳的護照、個人聯(lián)系方式等高度敏感的文件。更為嚴重的是，他們甚至能看到國際汽聯(lián)內(nèi)部關于駕照審批決策的通信記錄，整個系統(tǒng)的核心數(shù)據(jù)完全暴露無遺。

國際汽聯(lián)的一位發(fā)言人對此事件回應稱，他們在夏季已意識到該網(wǎng)站存在網(wǎng)絡安全事件，并立即采取措施保護車手數(shù)據(jù)，同時按照規(guī)定向相關數(shù)據(jù)保護機構(gòu)進行了報告，并通知了少數(shù)受影響的車手。

圖源：F1 官網(wǎng)