Nieuws
image

Blokker lekte gegevens klanten webshop via IDOR-kwetsbaarheid

zondag 14 februari 2021, 08:22 door Redactie, 5 reacties

Blokker heeft privégegevens van klanten van de eigen webshop via een zogeheten IDOR-kwetsbaarheid gelekt. Alleen het aanpassen van het ordernummer in de adresbalk van de browser was genoeg om de gegevens en bestellingen van andere klanten te zien. Mogelijk gaat het om 720.000 bestellingen die naast bestelde producten ook naam, adresgegevens en telefoonnummers bevatten en eenvoudig door andere klanten waren in te zien.

Dat meldt AVROTROS Opgelicht?! dat werd ingelicht door een tipgever. De kwetsbaarheid in de webwinkel zou al sinds eind oktober in de webwinkel van Blokker aanwezig zijn. Blokker laat in een reactie weten dat het afgelopen oktober op een nieuwe webshop is overgestapt. De kwetsbaarheid is inmiddels verholpen. Daarnaast is het datalek bij de Autoriteit Persoonsgegevens gemeld en maakt de winkel excuses aan klanten.

Insecure direct object references (IDOR)-kwetsbaarheden doen zich voor wanneer een webapplicatie of API een identifier gebruikt om een object in een database op te vragen zonder authenticatie of andere vorm van toegangscontrole. Ondanks de eenvoud van deze kwetsbaarheid komt die nog altijd geregeld voor. Zo kreeg de Infectieradar van het RIVM met een IDOR-kwetsbaarheid te maken waardoor vertrouwelijke gegevens van deelnemers voor derden toegankelijk waren.

Reacties (5)
14-02-2021, 09:56 door Anoniem
Kijk het is dus niet alleen de overheid / GGD.

Het is schering en inslag omdat de focus bij de verschillende partijen en de corrigerende krachten onderling elkaar niet in ballans houden.

Directeurtjes en minister presidenten persoonlijk aansprakelijk gaan houden. Dan wordt er beter bestuurd en worden de buisnesmodellen van de digidrang realistischer waarbij de verborgen kosten van beveiliging niet als risico op de burger eindigt maar in de board room daar waar het hoort en ook 'verdient' wordt.
14-02-2021, 12:54 door Anoniem
IDOR kwetsbaarheden, zolas id, pid, uid, die objecten representeren in samenhang met "weak PHP".
Ontbreken van goede access beveiliging. Goed voor dagelijkse data breaches.

Dorkjes galore, pats, te vaak is het raak. Security as a last resort issue.
Sluitpost op de begroting, zoals anoniem van 9.56 stelt.
Risico's van de bedrijfvoering vaak afgewenteld op "het gemeen".

Wie zijn "het gemeen"? Dat zijn u en ik - de eindgebruiker, de klant, "het product",
dat de liefst giga-winst brengt. Daar moet al het overige voor wijken.

luntrus
14-02-2021, 14:46 door Anoniem
Wat denkt u van laravel-sessie PHP framework hacks? Dorkje, shodannetje, ubuntu exploitje.
Het antwoord hierop is SSL.

luntrus
14-02-2021, 17:32 door Anoniem
Deze manier van vissen bestond al medio jaren negentig vorige eeuw, toen het web nog in de kinderschoenen stond.

https://en.wikipedia.org/wiki/Insecure_direct_object_reference
15-02-2021, 08:33 door Nova
Heb er geen woorden voor, weer niet de focus op security..
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search
Certified Secure Happy Holidays