Quote:Ceo storage jedne aplikacije Privredne Komore Srbije - dostupan bez autentifikacije. Propust je otkrio
@dusandz, dok je tražio na netu primerak uplatnice. Primetio je da je Google indeksirao jednu uplatnicu sa web aplikacije koji pripada PKS-u.

Ustanovljeno je da je na serveru omogućen directory listing (CWE-548). Međutim kada se izađe dva direktorijuma iznad, količina dostupnih falova i direktorijuma nas je naterala da se zamislimo. Ogromna količina veoma osetljih fajlova. (ulaz u neke direktorijume bi ubijao browser)

Ispostavilo se da je u pitanju kompletan file storage web aplikacije PKS-a na kome se nalaze veoma osetljivi podaci velikog broja građana Srbije, koji su aplikaciju koristili. Sve dostuno svima na izvolte, bez ikakve autentifikacije i autorizacije. Neoprostiva greška u razvoju.

U samo nekoliko klikova uspeli smo da nađemo par skenova ličnih karata i dve diplome fakulteta. Slučaj je odmah prijavljen
@PoverenikRS koji je reagovao munjevito a reagovali su i drugi državni organi (poznati autorima ).

Tačan broj fajlova nismo utvrdili, zbog osetljivosti podataka, nismo želeli da izlazimo van okvira nečega što je etično. Bila je ideja da se što brže sve skloni. Bilo je tu pored ličnih karata i finansijskih izveštaja, ugovora i već tada nam je postalo jasno da ovo nije za šalu.

izvor https://twitter.com/Joshibeast/status/14...0611992577

detaljna analiza: PKS data breach 2021: kako je otkrivena rupa u Privrednoj komori

Član foruma @joshibeast je kontaktirao RGZ sa pitanjem: https://twitter.com/Joshibeast/status/17...8828369238

Quote:Poštovani @RGZofficialSrb
na koji način najbolje mogu da vas kontaktiram povodom ranjivosti na jednom od vaših informacionih sistema?
Hvala.

RGZ je odgovorio: https://twitter.com/RGZofficialSrb/statu...0094617635

Quote:Javna zahvalnost za doprinos unapređenja rada RGZ

U Republičkom geodetskom zavodu kontinuirano težimo unapređenju i održavanju najviših standarda u pogledu dostupnosti i sigurnosti naše infrastrukture i web servisa. U tom duhu, želimo javno da izrazimo zahvalnost gospodinu Jovanu Šikanji @Joshibeast za njegov proaktivan pristup i visoku profesionalnost.

Gospodin Šikanja nam je na veoma odgovoran i etičan način skrenuo pažnju na određene aspekte našeg web sajta koji zaslužuju dodatnu analizu. Želimo da istaknemo da su ova obaveštenja izuzetno važna za nas, jer nam omogućavaju da unapredimo naše usluge čineći ih još pristupačnijim za sve korisnike.

Želimo da naglasimo da su naši sistemi redovno predmet rigoroznih bezbednosnih provera i da je integritet naših podataka i usluga uvek ostao nepromenjen, čak i tokom najizazovnijih trenutaka što su potvrdili nezavisni organi Republike Srbije kao i TUV Austria, najstarija sertifikaciona kuća koja je RGZ dodelila sertifikat ISO 27001.

Za kraj, pozivamo i druge građane da nas obaveste o bilo kakvim sugestijama ili potencijalnim poboljšanjima. Vaša sigurnost i poverenje su nam od najvećeg značaja.

Hvala Vam na podršci i poverenju.

Srdačno,
Vaš Republički geodetski zavod

Da sumiramo, RGZ ima ranjivost na jednoj od web usluga. Ne znamo od kada, koliko je kritična i da li je prethodno eksploatisana.

https://phishing.army/

Quote:Pozivamo sve studentkinje tehničkih fakulteta da nam se pridruže u otkrivanju sveta sajber bezbednosti! 

Slavimo Mesec žena predstavljajući inspirativne mogućnosti u oblasti sajber bezbednosti, posebno osmišljene da osnaže i motivišu žene da istraže i započnu svoju profesionalnu karijeru u ovom dinamičnom polju.

 Datum: 27. mart 
 Vreme: 18:00 
 Lokacija: NTP, Novi Sad, Prezentaciona sala 1 (Prizemlje)
 Jezik događaja: Srpski
 Govornice i govornici:

• Sanja Kekić, predsednica Women4Cyber Srbija
  
• Damjan Cvetanović, stručnjak za informacionu bezbednost u kompaniji UN1QUELY
  
• Branko Džakula, COO i suosnivač kompanije UN1QUELY, CISO u BrightMarbles grupaciji
  

forms.office.com/e/BWvHX8LWFM

Quote:Dobrodošli na ,,BALKAN SECURITY EXPO 2024”, prestižni prikaz bezbednosnih rešenja i inovacija. Kao epicentar vizija i trendova u industriji bezbednosti, ovaj sajam okuplja stručnjake, inovatore i sve zainteresovane strane iz različitih segmenata bezbednosti – tehničke zaštite, fizičke zaštite, sajber bezbednosti, konsaltinga, zaštite od požara, bezbednosti i zdravlja na radu, zaštite životne sredine, upravljanja rizicima, kriznog menadžmenta, edukacija iz oblasti bezbednosti i dr.

Takvim integrisanim pristupom, ,,BALKAN SECURITY EXPO 2024” se postavlja kao jedinstvena platforma koja promoviše multidisciplinarnu saradnju i sinergiju među učesnicima. Na taj način pored unapređenja zajedničkog razumevanja i pronalaženja optimalnih rešenja u oblasti bezbednosti, ,,BALKAN SECURITY EXPO 2024”  stvara i temelj za inovativne pristupe u zaštiti poslovnih vrednosti.

https://www.balkanexposec.com/sr/

Quote:NALED je, uz pomoć kompanija u svom članstvu – Asseco-a, IBM-a i Saga – sproveo jednu vrstu etičkog hakerisanja informacionih sistema jedinica lokalne samouprave.

NALED: Etičko hakerisanje JLS pokazalo slabosti sistema

povezan članak:

Quote:Glavni problemi sa kojima se lokalne samouprave suočavaju u svom radu su nedostatak IT kadra, nedostatak tehničkih i finansijskih resursa, zastarela oprema i krhki sistemi i mreže, zaključak je istraživanja koja je sproveo NALED.

NALED: JLS izdvajaju nedovoljno sredstava za informacione sisteme

   

   

Quote:Info dan o Sajber bezbednosti

Teme:

✔️ Trendovi sajber bezbednosti u biznisu
✔️ Projekti i dešavanja u javnom sektoru
✔️ Potrebe i očekivanja poslodavaca
✔️ Iskustva zaposlenih
✔️ Inicijativa „Sajber putevi za žene“
✔️ Kratki program Sajber bezbednost Univerziteta u Kragujevcu

Gosti: DCT - Data Cloud Technology UN1QUELY TeleGroup Ltd
A1 Srbija d.o.o.

Sreda, 20. Mart 2024. 12h
Svečana sala, PMF, Kragujevac

   

Izvor: https://www.linkedin.com/feed/update/urn...473839616/