SIDN waarschuwt voor foutief geconfigureerde localhost-records
Van de 6,2 miljoen domeinnamen in de .nl-zone bevatten maar liefst 1,3 miljoen namen nog een A-record voor het localhost-label en dat kan veiligheidsproblemen opleveren, zo waarschuwt de Stichting Internet Domeinregistratie Nederland (SIDN), de organisatie die de .nl-domeinnamen beheert.
Het gaat dan om het A-record "localhost" dat naar 127.0.0.1 wijst. Bijvoorbeeld localhost.example.nl. De aanbeveling om een A-record voor localhost op te nemen gaat terug naar RFC 1537 van oktober 1993. RFC 1537 werd in 1996 overbodig verklaard en opgevolgd door RFC 1912. Daarin staat dat localhost (alleen) als een speciale hostname geconfigureerd moet worden. Bovendien staat er een punt achter de hostname, dus "localhost." in plaats van alleen "localhost" zonder punt.
In veel gevallen ontbreekt deze punt en dat kan een beveiligingsprobleem opleveren, zo stelt SIDN vandaag. Een verkeerd geconfigureerd localhost-record kan worden gebruikt voor een cross-site scripting (XSS)-aanval waarbij een aanvaller http-cookies van andere gebruikers op hetzelfde systeem waarop de website draait kan afluisteren.
"Dat doet een gebruiker door een 'hoge' TCP-poort te openen en andere gebruikers op het systeem om te leiden naar een adres als 'http://localhost.example.nl:49152/'. Omdat de adressen www.example.nl en localhost.example.nl hetzelfde basisdomein hebben, krijgt de kwaadwillende gebruiker bij het openen van de verbinding naar localhost.example.nl (127.0.0.1) ook de cookies voor www.example.nl toegestuurd", aldus SIDN.
Om dergelijke situaties te voorkomen roept de stichting houders en beheerders op om hun domeinnamen te controleren op de aanwezigheid van localhost-labels en deze daar volledig te verwijderen.
Lijkt me dan makkelijker de browser direct uit te lezen?
Lijkt me dan makkelijker de browser direct uit te lezen?
Er zijn steeds meer applicaties met webservices op localhost
Zo zie je het nadeel van dat soort "checklists" met "best practices": voor je het weet zit je met miljoenen gevallen van een ongewenste situatie.
Zo zie je het nadeel van dat soort "checklists" met "best practices": voor je het weet zit je met miljoenen gevallen van een ongewenste situatie.
Je kunt raden wat er gebeurde met de spamvolume nadat deze experts op hun strepen gingen staan.
Checklists zijn geweldig zolang je ze maar inricht voor jouw organisatie en test.
Te losse configuratie - Confirmed
Collapse panel
COOKIE NAME
sessionid
URL
?????
EVIDENCE
Set-Cookie: web-address
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
