Hacker schiet gaten in website McAfee
De website van beveiligingsbedrijf McAfee zit vol lekken, waardoor aanvallers toegang tot vertrouwelijke informatie kunnen krijgen, zo hebben onderzoekers ontdekt. De ontdekking is opmerkelijk, aangezien McAfee bedrijven juist adviseert in het beveiliging van hun website. De kwetsbaarheden werden op 10 februari door de YGN Ethical Hacker Group aan de beveiliger gemeld. Die liet weten de kwetsbaarheden zo snel als mogelijk te verhelpen. Zes weken later was de situatie nog steeds hetzelfde, waarop YGN de lekken op de Full-Disclosure mailinglist publiceerde.
De problemen bestaan uit cross-site scripting en Information Disclosure. Daarmee zou een aanvaller inloggegevens van gebruikers kunnen stelen en informatie kunnen verzamelen voor het uitvoeren van verdere aanvallen. Zo lekt de website een interne hostname en broncode van bestanden, waar mogelijk verdere aanwijzingen voor de aanvaller in kunnen staan. De "ethische hackers" adviseren McAfee om beter gebruik van de eigen experts te maken.
Door de lekken is ook het McAfee Secure keurmerk onder vuur komen te liggen. McAfee zegt dat het dagelijks bij websites op problemen controleert. "In andere woorden, de aanwezigheid van dit label betekent dat de website niet kwetsbaar is voor precies dezelfde lekken waar McAfee nu mee te maken heeft", zegt onderzoeker Pablo Ximenes.
Tel slechte detectie/testen dit jaar bij op. Dan blijft er weinig goede reclame meer over.
Hier een voorbeeldje van de "secure" short URL service: http://mcaf.ee/8a059
En hier een voorbeeldje van een een door McAfee als veilige website: http://www.vitaminstore.nl/GoogleCustomSearch.aspx?keywords=%27%29%3Balert%28%27XSS%27%29%3B%2F%2F
En ja, ik heb ze al in december geinformeerd hierover.
Feit is dat indien je McAfee SECURE (want zo heet het officieel) aanschaft en de IP-adressen van de scanner niet whitelist, dat je dan gewoon non-stop de badge kunt tonen inclusief datumstempel L) Logischerwijs worden er dan helemaal geen lekken gevonden en ben je volgens hen gewoon elke dag veilig bevonden. Hierdoor kunnen eigenaren van de websites die de badge dragen hun bezoekers gewoonweg in de maling nemen en natuurlijk henzelf.
Wij gebruiken zelf McAfee SECURE en verschillende andere tools voor onze websites, omdat wij gewoonweg het risico niet nemen dat er gevoelige gegevens van onze klanten op straat komen te liggen. Wij weten bij voorbaat al dat de tool van McAfee geen volwaardig wondermiddel (die bestaat niet) is, maar we kunnen door het samenvoegen van de resultaten van alle tools en handmatige tests wel een goed beeld maken van de risico's. Dus voor ons heeft McAfee SECURE weldegelijk waarde.
Natuurlijk grotendeels vanwege het marketing aspect en feit is dat wij door het tonen van de badge een toename zie in het verkopen op alle websites. Inmiddels hebben wij ook badges van andere bedrijven getest op de websites (GoDaddy, Trustwave, SecurityMetrics etc......). Waarbij wij geen noemenswaardige stijgingen in de verkopen aantroffen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
