شركة VenturEd Solutions تعالج ثغرة أمنية في منصة Ravenna Hub

تطور شركة VenturEd Solutions، ومقرها فلوريدا، منصة Ravenna Hub وتديرها، وهي منصة إلكترونية للقبول المدرسي تستخدمها العائلات لتسجيل الأطفال في المدارس. وتخدم المنصة أكثر من مليون طالب وتعالج مئات الآلاف من طلبات الالتحاق سنوياً. ومؤخراً، تبيّن وجود ثغرة أمنية في الموقع سمحت لأي مستخدم مسجّل الدخول بالوصول إلى البيانات الشخصية لمستخدمين آخرين. وقد أدى هذا الخلل الأمني إلى كشف ما يزيد قليلاً عن 1.63 مليون سجل للوصول غير المصرح به.

تُعرف هذه الثغرة باسم “مرجع الكائن المباشر غير الآمن” (Insecure Direct Object Reference)، أو اختصاراً IDOR، وهي ثغرة أمنية تسمح بالوصول غير المصرح به إلى البيانات عن طريق تعديل المعرّفات. وعملياً، سمح هذا الخلل الأمني لأي مستخدم مسجّل الدخول بالوصول إلى بيانات طالب آخر عن طريق تعديل الرقم التسلسلي الفريد المكون من سبعة أرقام والمرتبط بملف تعريف الطالب في شريط عنوان متصفح الويب. ونظراً لأن أرقام الطلاب تسلسلية، كان بإمكان المستخدم الوصول إلى سجلات أخرى ببساطة عن طريق تغيير رقم الملف برقم واحد أو أكثر.

علمت TechCrunch لأول مرة بالثغرة يوم الأربعاء، وقامت بعد ذلك بتنبيه الشركة. وقد قامت VenturEd Solutions بإصلاح الخلل الأمني في نفس اليوم الذي تم تنبيهها فيه. وأكد Nick Laird، الرئيس التنفيذي لشركة VenturEd Solutions، الحل في رسالة بريد إلكتروني، مشيراً إلى أن “الشركة تمكنت من تكرار المشكلة وعالجت الثغرة”. وفي حين أشار Laird إلى أن الشركة تحقق في الحادث، فإنه لم يلتزم بإخطار المستخدمين بشأن الخلل الأمني. بالإضافة إلى ذلك، رفض Laird التعليق على ما إذا كانت الشركة لديها القدرة على التحقق مما إذا كان هناك أي وصول غير لائق إلى بيانات مستخدمين آخرين، أو ما إذا كانت Ravenna Hub قد خضعت لتدقيق أمني من قبل طرف ثالث.

يُعد هذا الحادث أحدث خلل أمني ينطوي على ثغرات أمنية بسيطة تؤثر على بيانات الطلاب. ويأتي هذا الحادث في أعقاب خلل أمني مماثل في موقع التوجيه عبر الإنترنت UStrive في شهر يناير، والذي كشف أيضاً عن المعلومات الشخصية لمستخدميه. وتؤكد هذه الحوادث المتتالية المخاطر المستمرة التي تهدد بيانات الطلاب في المنصات الرقمية.

لماذا يهم

كشفت ثغرة أمنية في منصة القبول Ravenna Hub عن معلومات شخصية حساسة لأطفال وأولياء أمور، مما يسلط الضوء على المخاطر المستمرة في أنظمة إدارة بيانات الطلاب.