关键词
数据泄露
F1 管理机构国际汽联(FIA)近日被曝出其车手分级网站存在严重安全漏洞,导致所有 F1 车手的个人身份信息一度可被任意访问。该问题现已修复,但事件暴露了这一关键门户在访问控制上的重大失误。
![]()
漏洞最初出现在 FIA 的车手分级门户网站上。由于每年所有车手都需通过该平台更新超级驾照信息,该网站对公众开放,任何人都可注册账户。安全研究人员在创建账户后发现,当修改个人资料时,服务器返回的信息超出了他们提交的字段,不仅包含姓名和邮箱,还泄露出生日期及一个关键参数——“role”(角色)。
该字段用于定义账户权限,如“车手”“FIA 员工”或“管理员”。研究人员发现系统未对该字段进行访问限制,便通过一次常见的“大规模分配”(Mass Assignment)漏洞,在更新请求中手动将自己的角色改为“admin”。这一简单的参数篡改便直接赋予他们管理员权限。
![]()
获得系统最高权限后,研究人员能够查看全部车手的注册信息与文件,包括护照扫描件、联系方式及超级驾照申请资料,甚至还可浏览 FIA 内部关于驾照审批的通信记录。换言之,整个后台系统的核心数据在当时完全暴露。
FIA 随后发表声明称,他们在夏季已发现该安全事件并采取措施保护数据,同时按要求通知了监管机构和受影响的车手。目前尚无迹象显示该漏洞被不法分子滥用,漏洞现已被完全修复。
![]()
参与此次漏洞发现的研究人员 Ian Carroll、Gal Nagli 与 Sam Curry 表示,事件再次提醒各机构在设计 Web API 时应严格限制字段权限,防止客户端数据可直接操控服务端敏感字段。
据科技媒体 TechRadar 报道,此次事件影响范围涵盖全部现役 F1 车手及部分团队关联账户,是 FIA 近年最严重的网络安全事件之一。

安全圈

网罗圈内热点 专注网络安全
实时资讯一手掌握!
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧!
特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.