CVE-2021-35060

O endpoint de inscrição do ACS do OpenWay WAY4 responde a requisições não autenticadas de maneira diferente conforme um determinado número de cartão de pagamento já esteja ou não armazenado no sistema. Um atacante que consiga acessar o /way4acs/enroll pode, portanto, sondar números de cartão e descobrir, pela diferença de resposta, quais o sistema conhece — um oráculo para validar dados de portadores de cartão sem login algum. Não revela nenhum caminho de código e não concede acesso; o impacto é de confidencialidade, mas exatamente dos dados que um sistema de pagamento existe para proteger.

A severidade fica em média porque é um oráculo de enumeração, não um despejo — o atacante descobre "sim/não este cartão está inscrito" uma consulta por vez, não o registro completo. Mas, no contexto de pagamentos, isso é genuinamente útil: permite que um ator valide números de cartão roubados ou gerados contra um sistema emissor/adquirente ativo, e a natureza remota e não autenticada significa que qualquer um que alcance o endpoint pode executá-lo em escala. É o tipo de canal lateral que alimenta pipelines de fraude de cartão.

Nossa ênfase é a contenção de exposição e a detecção de abuso. Um endpoint de inscrição de ACS não tem por que ser amplamente acessível, então a primeira tarefa é confirmar que qualquer WAY4 abaixo da 1.2.278-2693 tenha esse caminho restrito às rotas pretendidas da rede de cartões, não à internet aberta. Como o exploit é apenas requisições repetidas de aparência legítima, também trataríamos a sondagem volumétrica do endpoint de inscrição como um sinal de detecção e a limitaríamos por taxa, já que a correção remove a diferença de resposta, mas o controle de alcançabilidade embota o oráculo nesse ínterim.