Luki na stronach Grupy TP

Anna Wasilewska-Śpioch 08-10-2009, 16:22

Jednym z najbardziej rozpowszechnionych ataków na aplikacje bazodanowe działające w sieci jest XSS. Przed umożliwiającymi je błędami nie ustrzegły się nawet największe portale. Czytelnik Dziennika Internautów znalazł takie luki na stronach TP i Orange, w tym drugim przypadku podatność można było wykorzystać do kradzieży cookies zalogowanego użytkownika.

reklama

fot. DI - Zrzut ekranu obrazujący wykorzystanie luki na stronie TP

Specjalista ds. bezpieczeństwa Iwo Graj w lipcu poinformował o luce w geolokalizatorze Zumi, który należy do Grupy Onet.pl. Teraz natomiast wziął pod lupę stronę internetową Telekomunikacji Polskiej. Sprawdził też witrynę "bratniej" firmy, czyli Orange - na obu znalazł błędy bezpieczeństwa. Zamieszczone obok zrzuty ekranu obrazują wykorzystanie odkrytych podatności.

fot. DI - Zrzut ekranu obrazujący wykorzystanie luki na stronie TP

Luka znaleziona na stronie TP występuje w module wyszukiwarki. Jak powiadomił nas jej odkrywca, jest to błąd typowy dla aplikacji internetowych, umożliwiający atak XSS (ang. cross-site scripting). Nie ustrzegły się go nawet największe serwisy, takie jak Onet, Allegro czy Nasza-Klasa. Ciężko jest go w jakiś sposób wykorzystać, prócz zmuszenia aplikacji do wykonania dowolnego kodu JavaScript - tłumaczy Iwo Graj.

fot. DI - Zrzut ekranu obrazujący wykorzystanie luki na stronie Orange - użytkownik niezalogowany

Bardziej niebezpieczny wydaje się błąd odkryty na stronie Orange, pozwala on bowiem nie tylko na wykonanie kodu, ale także na kradzież ciasteczek (ang. cookies) - cyberprzestępca może w ten sposób pozyskać m.in. identyfikator zalogowanej sesji użytkownika. Potencjalna ofiara nie musi nigdzie klikać, wystarczy, że najedzie wskaźnikiem myszy na pole przeznaczone do wpisania numeru telefonu.

Kwestią czasu jest powstanie robaka internetowego, który wykorzystałby błąd w różnych celach - uważa ekspert. Co zagraża użytkownikom podatnej na atak strony? Może być wiele scenariuszy wykorzystania luki. Jej odkrywca wyjaśnia:

Użytkownik zalogowany na swoim koncie na stronie Orange.pl posiada zarówno skrzynkę wysłanych wiadomości, jak i numery, do których je wysyłał, a co gorsza dostęp do całej obsługi swojego konta - BOK Online i informacji dotyczących ostatnich połączeń, stanu konta i innych prywatnych informacji. Biorąc pod uwagę wszystkie aspekty i pomysłowość dzisiejszych cyberprzestępców, błąd jest nieco krytyczny, ponieważ najważniejsze jest bezpieczeństwo każdego człowieka, jego prywatność, zapewne tego wszyscy oczekują od firm, którym powierzają swoje interesy. Żyjemy obecnie w czasach, gdzie informacja może być najniebezpieczniejszą bronią w rękach szaleńca.

fot. DI - Zrzut ekranu obrazujący wykorzystanie luki na stronie Orange - użytkownik zalogowany

Dziennik Internautów poinformował Grupę TP o lukach znalezionych na należących do niej stronach. Bardzo dziękuję za zwrócenie uwagi na błąd. Usuniemy go tak szybko, jak będzie możliwe - odpisał Wojciech Jabczyński, rzecznik prasowy Telekomunikacji Polskiej i Orange. Nie udało nam się uzyskać bardziej obszernego komentarza. Jak zauważył Iwo Graj, specjaliści z Grupy TP rzeczywiście wzięli się jednak do pracy - w chwili pisania tego tekstu luka na stronie Orange była już naprawiona, na stronie TP jeszcze działała.

Niemal co tydzień redakcja Dziennika Internautów otrzymuje e-maile od Czytelników zawierające opisy luk w różnych serwisach internetowych. Z myślą o takich osobach przygotowaliśmy dwa artykuły:

Aktualizacja - 9.10.2009 godz. 9.50

Wojciech Jabczyński, rzecznik Grupy TP, poinformował redakcję Dziennika Internautów, że luka na stronie Telekomunikacji Polskiej również została już załatana.

Aktualności | Porady | Gościnnie | Katalog
Bukmacherzy | Sprawdź auto | Praca
biurowirtualnewarszawa.pl wirtualne biura w Śródmieściu Warszawy

Artykuł może w treści zawierać linki partnerów biznesowych
i afiliacyjne, dzięki którym serwis dostarcza darmowe treści.

Więcej w tym temacie:

Następny artykuł » zamknij

Silesia SEM - spotkanie specjalistów marketingu w wyszukiwarkach

Źródło: DI24.pl

Ostatnie artykuły:

fot. cyberrescue Zawieszenie konta w mBanku - to nowe oszustwo, które może Cię słono kosztować	fot. DALL-E Cyberarmagedon w biznesie: Niedobór specjalistów od cyberbezpieczeństwa uderza głównie w małe i średnie firmy	fot. DALL-E Uwaga! Używany smartfon może być cyberpułapką - sprawdź zanim kupisz smartfon trojański
fot. Freepik Prognozy dla Bitcoina 2025: Eksperci przewidują wzrost do 200 tys. USD po przejęciu władzy przez Trumpa	fot. DALL-E Uwaga! Przestępcy wykorzystują Kalendarz Google do cyberataków	fot. DALL-E Meta przedkłada zyski nad ochronę prywatności! Polski sąd odrzucił prośbę firmy o wstrzymanie ochrony przed deepfakeami znanych Polaków

Tematy pokrewne:

XSS

Telekomunikacja Polska

Orange

luki

ataki

« strona główna - do góry ^

Stopka

Publikacje

Nasze serwisy

Kanały dostępu

Partnerzy