Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Fantasy Hub: scoperto un nuovo RAT Android che prende il controllo totale del dispositivo
Torna GlassWorm, il primo worm che colpisce le estensioni di VS Code
Knownsec colpita da un catastrofico breach: esposti oltre 12.000 documenti sensibili
CERT-AGID 1–7 novembre: phishing su Banca d’Italia e Agenzia delle Entrate
In aumento gli attacchi russi e lo spionaggio contro Ucraina ed Europa. Il report di ESET

Falle in migliaia di Web App create con Django. “Errore umano”

Apr 03, 2018 Marco Schiaffino Gestione dati, News, RSS, Vulnerabilità 1

L’errata impostazione della piattaforma di sviluppo apre al furto di credenziali e informazioni riservate. La colpa è degli sviluppatori distratti.

Uno dei peggiori nemici della sicurezza? La distrazione. E la vicenda legata alle Web App sviluppate con Django è la classica dimostrazione che questa regola è sempre valida.

Django è una piattaforma di sviluppo software open source, dedicata alla creazione di applicazioni basate sul Web e utilizzata da soggetti del calibro di Pinterest, Mozilla, Instagram e dal Washington Times.

Accanto alle celebrità, però, ci sono decine di migliaia di siti Internet e servizi vari che sfruttano app create con Django. Molti di questi (per l’esattezza una ricerca su Shodan ne rileva 28.165) sono vulnerabili ad attacchi che consentirebbero di sottrarre informazioni sensibili.

Ad accorgersene è stato il ricercatore brasiliano Fábio Castro, che ha trovato numerose applicazioni nelle quali sono accessibili password dei database, i token di accesso ai server AWS e altre amenità del genere.

Il ricercatore ha segnalato il problema su Twitter, pubblicando anche le immagini relative ad alcuni server dai quali aveva potuto estrarre credenziali e token.

La colpa risalirebbe a un banale errore degli sviluppatori, che hanno lasciato attivata la modalità di debug anche nella release finale. Un dettaglio, verrebbe da dire, che in questo caso però ha conseguenze potenzialmente devastanti. Anche perché secondo Castro, alcuni dei server in questione sarebbero già stati compromessi.

Il consiglio per chiunque abbia componenti sviluppati con Django è quindi di verificare quanto prima eventuali vulnerabilità e correggerle prima che sia troppo tardi. La pigrizia, in questo caso, può fare maggiori danni della distrazione.

Condividi l'articolo