Los investigadores de seguridad encadenaron cinco debilidades distintas en el popular servicio de automatización del flujo de trabajo Zapier que, si hubiera sido descubierta por primera vez por un actor malicioso, podría haber otorgado acceso a millones de cuentas de usuarios y a los sistemas a los que se conectan esas cuentas.

Las fallas, reveladas por la firma de seguridad Token Security, no requirieron malware ni acceso interno. El único requisito previo, según el informe de la empresa, era una cuenta Zapier gratuita. A partir de ahí, los investigadores encadenaron debilidades que, tomadas individualmente, habrían parecido rutinarias, pero que en conjunto abrieron el camino hacia uno de los servicios más utilizados de la Internet moderna.

El software de Zapier se puede configurar para mover datos entre correo electrónico, herramientas de relación con el cliente, procesadores de pagos, calendarios, repositorios de códigos y miles de otras aplicaciones. La compañía dice que admite más de 8.000 integraciones de terceros y tiene millones de usuarios, lo que significa que irrumpir en Zapier podría convertirse en un ataque de amplio alcance a la cadena de suministro.

Los investigadores dijeron que un intento de ataque comenzaría explotando una debilidad en la forma en que los usuarios escriben pequeños fragmentos de código como parte de sus automatizaciones. Una vez que se aisló esa característica, los investigadores recuperaron las credenciales de inicio de sesión que el servicio había intentado descartar. Esas credenciales, a su vez, expusieron un sistema de almacenamiento interno que contenía más de 1.100 imágenes privadas del software de Zapier, una de las cuales contenía una clave de publicación para un fragmento de código que se ejecuta dentro del navegador de cada usuario de Zapier que haya iniciado sesión.

Según el informe, si un atacante actualizó ese código, podría haber actuado como un usuario legítimo dentro de la plataforma, creando nuevas automatizaciones, alterando las existentes y aprovechando conexiones que el usuario ya había aprobado para servicios externos. Desde allí, podían ordenar a la plataforma que enviara correos electrónicos, moviera archivos, extrajera registros de bases de datos de clientes o publicara mensajes, todo desde cuentas que parecieran completamente legítimas.

Los investigadores enfatizaron que un posible atacante no podría haber obtenido contraseñas o claves de inicio de sesión para esos servicios conectados, ya que permanecen en los servidores de Zapier. Pero debido a que las acciones se habrían llevado a cabo a través del propio Zapier, habrían parecido, para cualquier sistema externo, como las del usuario.

Un hallazgo separado, descubierto durante la misma investigación, ilustró cuán inmediato puede ser ese riesgo. Los investigadores dijeron que descubrieron una clave funcional vinculada a la cuenta personal del director de tecnología de una empresa externa de inteligencia artificial cuyo software Zapier usaba internamente. Usando esa clave, pudieron enviar un correo electrónico desde la cuenta de Gmail del ejecutivo a un buzón que controlaban.

Token Security le dijo a Zapier que la capacidad existía pero no la explotó. Los investigadores confirmaron que tenían el acceso necesario para insertar una actualización maliciosa en el código que se ejecuta dentro del navegador de cada usuario de Zapier que haya iniciado sesión y, en cambio, informaron los hallazgos en febrero bajo el programa de recompensas por errores de la compañía.

Los investigadores dijeron que Zapier clasificó los problemas en cuatro días, los solucionó en tres semanas y trabajó con la empresa para permitir la divulgación. La compañía pagó la recompensa máxima del programa de 3.000 dólares y dice que no tiene evidencia de que las debilidades fueran explotadas antes de que fueran reparadas.

«Vale la pena decirlo en voz alta en una cultura que a menudo castiga a los programas de divulgación por su lentitud», se lee en la publicación del blog de Token.

Zapier no respondió a la solicitud de comentarios de CyberScoop.

El episodio llega en un momento en el que a las plataformas de automatización y las herramientas de inteligencia artificial se les otorga cada vez más autoridad permanente para actuar en nombre de los usuarios en docenas de servicios a la vez. Los investigadores de Token Security argumentaron que las debilidades que encontraron no eran exclusivas de Zapier. Dijeron que cada eslabón de la cadena era un tipo de error bien documentado. La vulnerabilidad era la cadena misma, y ​​advirtieron que es casi seguro que el mismo patrón existe en otras empresas que aún no han analizado.

Zapier dice que los problemas se han solucionado y no es necesario realizar más acciones. Pero los investigadores sugirieron que las organizaciones con mayor sensibilidad revisen sus registros de automatización en busca de cualquier cosa que no hayan creado y consideren reautorizar las conexiones de Zapier a sistemas particularmente sensibles.

Puede leer el informe de investigación completo en Sitio web de Token Security.