Agencja Nieruchomości Rolnych ujawnia pełne dane użytkowników systemu

dodał 21 września 2012 o 00:51 w kategorii Top  z tagami:
Agencja Nieruchomości Rolnych ujawnia pełne dane użytkowników systemu

Od jednego z naszych czytelników, Łukasza, otrzymaliśmy informację o poważnej luce w systemach Agencji Nieruchomości Rolnych. Okazuje się, że błędnie skonfigurowany skrypt ujawnia PESEL, adres, dane osobowe oraz hasła użytkowników systemu.

Łukasz przekazał nam adres URL, pod którym można wyświetlać pliki xml, zawierające dane użytkowników Elektronicznej Skrzynki Podawczej, obsługiwanej przez Agencję Nieruchomości Rolnych. Zmieniając liczbowy parametr na końcu adresu, możemy poznawać dane kolejnych osób. Spójrzmy, jakie dane są ujawniane.

Zrzut ekranu z danymi osobowymi

Widzimy zatem, że system przechowuje (i udostępnia każdemu chętnemu) takie dane jak:

  • imię i nazwisko
  • dokładny adres
  • nr PESEL
  • adres email
  • numer telefonu
  • hasło zapisane otwartym tekstem

Wykorzystując adres email oraz hasło zapisane otwartym tekstem, atakujący może zalogować się do konta Elektronicznej Skrzynki Podawczej ofiary oraz zapoznać się z treścią zgłoszonych przez nią spraw oraz otrzymanych odpowiedzi. Przedział wartości identyfikatorów, dla których system zwraca dane, sugeruje, że zagrożonych może być kilkadziesiąt tysięcy nieświadomych użytkowników.

Co może bulwersować bardziej, niż takie właśnie niefrasobliwe skonfigurowanie systemu? Otóż szukając informacji o tym błędzie natrafiliśmy w sieci na wpis sugerujący, że problem jest znany od co najmniej 8 sierpnia tego roku. Nie zamieszczamy tutaj linka do rzeczonego wpisu, ponieważ zawiera on pełną informację o ścieżce dostępu do danych.

Firma Rodan, wdrażająca platformę OfficeObjects, której błąd konfiguracyjny (bo nie chcemy wierzyć, że zamierzona konfiguracja) powoduje ujawnienie danych użytkowników, posiada listę referencyjną, zawierającą ponad 80 instytucji rządowych i samorządowych. Ciekawe, czy bezpieczeństwo Elektronicznej Skrzynki Podawczej i danych jej użytkowników w tych instytucjach wygląda tak samo jak w Agencji Nieruchomości Rolnych.