Site AIVD bevat beveiligingsfoutjes
De site van de AIVD, de voormalige Binnenlandse Veiligheidsdienst (BVD) is niet goed beveiligd. Zo is er Cross Site Scripting (XSS) mogelijk. Het is niet bekend of deze ook uitgebuit kan worden om informatie van derden te onderschappen. Een ander probleem is dat als men de URL van een pagina van de site enigzins wijzigt er een foutmelding verschijnt waarin een groot aantal interne gegevens over de site en de webserver getoond worden, waaronder het dokumentpad. Ook kunnen een aantal door de scripts waarvan de site gebruik maak gebruikte variabelen naar eigen inzicht worden ingevoerd, hetgeen een potentieel beveiligingsprobleem oplevert. Het is vreemd dat de AIVD, die in haar jaarverslag 2001 pleit voor het gebruik van Open Source, gebruik maakt van de Microsoft IIS server.
volgende keer ook:
http://www.whitehouse.gov bevat beveiligings lekken
"ook is het mogelijk om naar eigen inzicht een url in te voeren, een potentieel beveiligings probleem"
Geen enkele info in de stuk, zoals bijvoorbeeld de bron, het soort scripts (forum, mail: lijkt me logisch dat je dan data naar eigen inzicht kan toevoegen) terwijl dit bijvoorbeeld voor een deel van dynamic content anders zou kunnen zijn.
Cross Site Scripting .. tja .. gelukkig zegt het artikel er direct bij dat het niet bekend is of het uitgebuit kan worden, natuurlijk kan dit, de vraag is of er nuttige informatie bij zit, die specifiek voor deze site is, op geen enkele manier wordt deze vraag beantwoord
http://www.minbzk.nl trouwens ook, zelfde mechanisme.
hmtsjah, je bent best wel een ongelofelijke sukkel als je door xss paswoorden worden ontvreemd.
:) Zie het eigenlijk ook niet zo als een big time security threat. Veel sites zijn namelijk xss vulnerable.
De FBI is bereikbaar via e-mail,
De AIVD is niet bereikbaar via e-mail. Reden: men kan dan volgens de AIVD "meelezen". Nooit gehoord van versleuteling AIVD? Nooit gehoord van SSL? Foei toch!
Als dit niet eens beheerst wordt, wat zal dan nog meer worden gevonden...
Pierpanda.
De CIA is bereikbaar via e-mail,
De FBI is bereikbaar via e-mail,
De AIVD is niet bereikbaar via e-mail. Reden: men kan dan volgens de AIVD "meelezen". Nooit gehoord van versleuteling AIVD? Nooit gehoord van SSL? Foei toch!
Als dit niet eens beheerst wordt, wat zal dan nog meer worden gevonden...
Pierpanda.
In ieder geval begrijpt deze AIVD beter dan jij dat 1) meeste methodes van versleuteling vrij gemakkelijk zelfs te kraken zijn (o0o0o0o MS SQL -OLAP kan toch zo lekker werken) en 2) SSL is leuk maar alles behalve waterdicht. plus 3) eenq qoutje
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
