CVE-2021-35060

El endpoint de inscripción del ACS de OpenWay WAY4 responde a las solicitudes no autenticadas de manera diferente según si un número de tarjeta de pago dado ya está almacenado en el sistema. Por lo tanto, un atacante que pueda llegar a /way4acs/enroll puede sondear números de tarjeta y aprender, a partir de la diferencia en la respuesta, cuáles conoce el sistema: un oráculo para validar datos de titulares de tarjeta sin ningún inicio de sesión. No divulga ninguna ruta de código ni concede acceso; el impacto es la confidencialidad, pero precisamente de los datos que un sistema de pagos existe para proteger.

La severidad se sitúa en media porque es un oráculo de enumeración, no un volcado: un atacante aprende "sí/no, esta tarjeta está inscrita" una consulta a la vez, no el registro completo. Pero en el contexto de pagos eso es genuinamente útil: le permite a un actor validar números de tarjeta robados o generados contra un sistema emisor/adquirente en vivo, y la naturaleza no autenticada y remota significa que cualquiera que pueda alcanzar el endpoint puede ejecutarlo a escala. Este es el tipo de canal lateral que alimenta los pipelines de fraude con tarjetas.

Nuestro énfasis es la contención de la exposición y la detección del abuso. Un endpoint de inscripción de ACS no tiene por qué ser ampliamente accesible, así que la primera tarea es confirmar que cualquier WAY4 por debajo de 1.2.278-2693 tenga esa ruta restringida a las rutas previstas de la red de tarjetas, no a la internet abierta. Como el exploit no es más que solicitudes repetidas de apariencia legítima, también trataríamos el sondeo volumétrico del endpoint enroll como una señal de detección y le aplicaríamos limitación de tasa, ya que la corrección elimina la diferencia en la respuesta, pero el control de accesibilidad mitiga el oráculo mientras tanto.