Naroči se na upravno enoto - aplikacija z veliko ranljivostjo
Portal Slotech je nazorno opisal ranljivost nove aplikacije za e naročanje na upravne enote
Novica je bila objavljena 7.1.2022
Vir: Slotech
Upravne enote Ljubljana, Litija in Logatec so izbrale izvajalca Ortus Inc, d.o.o., ki je pripravil aplikacijo za naročanje. Spletna aplikacija je enostavna za uporabo. Izberete datum, upravno enoto, postopek, poveste koliko vas bo prišlo in dobite termin. V naslednjem koraku še vpišete ime in kontaktne podatke ter potrdite rezervacijo.
Te dni pa smo dobili obvestilo o morebitni varnostni luknji v sistemu. Kot nam je pojasnil naš vir, je aplikacija očitno ranljiva na vrivanje SQL stavkov (SQL injection).
Naj spomnimo, prav ta vrsta ranljivosti je bila problem tudi pri novih spletnih straneh AJPES.
Takrat smo zapisali, da je SQL injection ena od najbolj pogostih ranljivosti spletnih aplikacij. Gre za tako pogosto ranljivost, da se o njej učijo že začetniki programiranja. Kadar je spletna aplikacija ranljiva na SQL injection torej gre za neupoštevanje minimalnih dobrih praks na področju programiranja in za veliko malomarnost programerjev.
Kako deluje SQL injection? Aplikacija za svoje delovanje, za hrambo podatkov (npr. podatkov o osebah, ki so se naročile na termin na upravni enoti) uporablja zbirko podatkov. Aplikacija bere podatke iz zbirke in jih vanjo zapisuje s tem, da izvede ustrezne SQL ukaze. Ti ukazi se sestavijo iz v naprej pripravljenih delov, ki pa se dopolnijo s tem, kar je v aplikacijo vpisal uporabnik (npr. svoje ime). Slabo sprogramirane aplikacije vpisane podatke uporabijo v SQL ukazu neposredno, brez sprememb. To pomeni, da jih ne spremenijo niti v primeru, ko vpisani podatki vsebujejo dodatne SQL ukaze. Ti SQL ukazi, ki jih je uporabnik vpisal na primer namesto svojega imena v aplikacijo, se potem izvedejo v SQL strežniku. Na ta način lahko zlonamerni uporabnik SQL strežnik pripravi do tega, da mu da podatke, do katerih uporabnik sicer nima dostopa. Prav tako lahko podatke izbriše ali spremeni.
Več na Slotech.
