Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

390.000 siti Web hanno informazioni sensibili accessibili a chiunque

Set 10, 2018 Marco Schiaffino Gestione dati, In evidenza, News, RSS, Vulnerabilità 0

Un’errata configurazione dei siti consente di accedere al repository di Git, un software usato da molti sviluppatori per creare i loro siti Internet.

Nessun bug o zero-day, ma un semplice errore di configurazione mette a rischio la bellezza di 390.000 siti Internet tra cui alcuni di quelli elencati nell’Alexa Top 500, la classifica dei siti più visitati al mondo.

A scoprirlo è stato Vladimír Smitka di Lynt Services, che ha individuato i siti vulnerabili attraverso un’attività di scansione su più di 230 milioni di domini Internet.

I siti in questione sono tutti stati sviluppati con Git, una piattaforma piuttosto diffusa che consente di gestire progetti e viene usata spesso anche per la creazione di siti Web.

Qual è il problema? In sintesi, che nel repository di Git vengono memorizzate numerose informazioni “sensibili”, come la struttura del sito, ma anche le password per i database e le chiavi per le API utilizzate nelle pagine.

Tutte informazioni che possono consentire a un pirata informatico di ottenere l’accesso ai dati o indizi che gli consentono di trovare un modo per violare facilmente il sito.

Tutto quello che un cyber-criminale dovrebbe fare è di inviare una richiesta per accedere alla cartella <web-site>/.git/HEAD, che in caso di corretta configurazione del sito non dovrebbe essere accessibile.

Nel caso dei 390.000 domini individuati da Smitka (ce ne sono anche 1.850 italiani) però le cose vanno in maniera diversa e in alcuni casi il contenuto del repository è addirittura stato indicizzato da Google.

Il ricercatore, dopo aver reso pubblico il problema con un post, si è avventurato in quella che potremmo definire un’avventura davvero epica: contattare tutti i responsabili dei siti per avvisarli del problema.

Smitka sarebbe riuscito a individuare le email di 290.000 dei siti e, una volta scartate quelle “inutili”, avrebbe inviato una comunicazione agli amministratori di 90.000 di questi spiegandogli la situazione.

Il bilancio della lodevole operazione non è però esaltante. Circa 18.000 messaggi non hanno raggiunto il destinatario per motivi vari, tra cui indirizzi non più esistenti o falsi.

Sulla scia di quelle andate a buon fine, Smitka spiega di aver scambiato 300 messaggi con i soggetti interessati per spiegare meglio il problema, di aver ricevuto 2.000 email di ringraziamento, 30 segnalazioni di falsi positivi, 2 minacce di denuncia per spam e una minaccia di chiamare la polizia canadese. Per tutti gli altri (e diremmo anche per gli ultimi tre) il problema rimane e non è da poco.

Condividi l'articolo