Εντοπισμός αδυναμίας (ξανά?) στα Γενικά Αρχεία του Κράτους www.gak.gr

Αδυναμία XSS εντοπίστηκε από τον Έλληνα χάκερ με το ψευδώνυμο »Expl0itH3r0» στην ιστοσελίδα των Γενικών Αρχείων του Κράτους (www.gak.gr). Σύμφωνα με αποκλειστική ενημέρωση μέσω ηλεκτρονικής αλληλογραφίας που είχε η συντακτική ομάδα του SecNews o «Expl0itH3r0», εντόπισε την XSS αδυναμία που επιτρέπει εμφάνιση μηνύματος....
στον browser του επισκέπτη με κατάλληλα τροποποιημένα αιτήματα. Ισχυρή κυβερνοεπίθεση είχε πραγματοποιηθεί στα Γενικά Αρχεία του Κράτους και στις αρχές του έτους, από υποστηρικτέςτης Ελληνικής Χάκινγκ Σκηνής. Τότε είχε πραγματοποιηθεί πλήρη αλλοίωση της ιστοσελίδας, υποκλοπή κωδικών χρηστών και διαχείριστή και ανάρτηση μηνύματος.
Η νέα αδυναμία που χρησιμοποιήσε ο hacker, εντοπίστηκε στην φόρμα σύνθετης αναζήτησης της ιστοσελίδας. Παραθέτουμε το σχετικό Screenshot που υποδυκνείει την αδυναμία, όπως μας το απέστειλε ο «Expl0itH3r0» :

Ως γνωστόν οι αδυναμίες XSS είναι χαμηλής επικινδυνότητας χωρίς να είναι εφικτό να οδηγήσουν άμεσα σε αλλοίωση της ιστοσελίδας ή πρόσβαση στον εξυπηρετητή αλλά μπορούν να χρησιμοποιηθούν έμμεσα για αλλοίωση του περιεχομένου σε επίπεδο χρήστη (user-session). Σε ιστοσελίδες συγκεκριμένης κατηγορίας (όπως E-shops, Μηχανές αναζήτησης ή ιστοσελίδες που επιτρέπουν αυθεντικοποίηση χρηστών) όπου το Phising μπορεί να αποφέρει ανακατεύθυνση επισκεπτών, πρέπει να λαμβάνονται σοβαρά υπόψη και να επιδιορθώνονται άμεσα.

Το SecNews ευχαριστεί τον «Expl0itH3r0» για την έγκαιρη και έγκυρη ενημέρωση.

Διαβάστε περισσότερα: http://www.secnews.gr/archives/46714#ixzz1up4jobor

http://www.secnews.gr/