Pozdrav zajednici,
Moje ime je Petar Bojović.
Profesor sam na Računarskom fakultetu u Beogradu.
Dugo već sam angažovan u oblasti računarske bezbednosti, što u stručnim, što u naučnim krugovima.
Neke javne publikacije možete naći na:
https://www.researchgate.net/profile/Petar-Bojovic

Na Računarskom fakultetu sam zadužen za predmete u oblasti Računarske bezbednosti.

Ova ranjivost vrste "nebezbedne direktne reference na objekte" (na engleskom skraćenica IDOR) je poslata na mejl foruma od strane otkrivača, naknadno je sa naše strane prijavljena nacionalnom CERTu krajem aprila i ubrzo je propust ispravljen. CERT id prijave je bio 700166 što ne znači mnogo jer ne postoji nikakva transparentnost rada CERTa, nisu javno obavestili ništa niti su nama lično javili da je propust ispravljen, samo su se u povratnom mejlu zahvalili na prijavi.

• O Čemu se radi?
  

Elektronska Narodna inicijativa je puštena u rad ove godine kao oblik direktnog učešća građana u donošenju odluka od opšteg značaja.

Više informacija možete videti na sajtu eUprave: https://euprava.gov.rs/narodna-inicijativa

Narodne inicijative imaju članove inicijativnog odbora koji predlažu inicijativu i imaju potpisnike te inicijative koji preko svog naloga na eUpravi potpisuju inicijativu.

• O Propustu
  

Otkriveni propust omogućava neautentifikovano pristupanje podacima o članovima narodne inicijative. Nije potreban nalog na eUpravi i bilo ko na internetu je mogao da dođe do podataka otvarajući odgovarajuću putanju sa sajta u pregledaču ili koristeći razne automatizovane alate.

Podaci koji su potvrđeno mogli da se otkriju su podaci članova inicijativnog odbora za određenu inicijativu. Pored imena i prezimena ovi podaci su sadržali i adresu stanovanja kao i JMBG tih osoba, podaci koji ne smeju biti javni.

To je izlgedalo ovako :

   

e-Inicijative svakako sadrže imena i prezimena predlagača kao što se vidi na samoj inicijativi, ali ostali podaci ne bi trebalo da budu javni...

   

• Obim propusta
  

Nepoznato je da li je bilo moguće videti iste podatke o samim potpisnicima inicijativa, ali nema razloga da se sumnja drugačije jer je Web API odgovarao na javne internet upite bez autentifikacije. Sa ispravnom API putanjom je verovatno bilo moguće pogledati spisak potpisnika kao i potencijalno njihove lične podatke ako se takvi nalaze u bazi podataka sistema elektronske narodne inicijative, što je vrlo verovatno...

   

posle ispravke više nije moguće pristupiti APIju kao neautentifikovan ni kao autentifikovan korisnik eUprave :

   

• misli o eUpravi i Kancelariji ITE
  

Pitanje je kako je moguće da bilo koja putanja na sajtu eUprave omogućava neautentifikovan pristup. P
ošto je ovo tada bila nova usluga i možda u fazi testiranja verovatno neko nije konfigurisao server kako treba. 
Za osetljiv sajt poput eUprave treba da važi default-deny pravilo, da se svaki upit odbija osim ako nije autentifikovan ili eksplicitno odobren, ovo bi dovelo do toga da pri podešavanju sajta nekom novom uslugom, onaj ko podešava mora da razmisli i da ručno podesi samo ono što je neophodno, potencijalno izbegavajući ovakav propust.

Setite se ovoga sledeći put kada se eUprava hvali kako nije moguće pristupiti tuđim podacima na sistemu eUprave.

Takođe pogledajte i o drugom velikom skorašnjem IDOR propustu na drugom državnom portalu : kreditistipendije.prosveta.gov.rs - enumeracija ličnih podataka putem IDOR ranjivosti

trenutno je sajt nedostupan, javlja "connection timed out"

   

   

   

listajući Shodan tokom pauze od učenja za ispite naš član foruma VincaSec je otkrio ovo...

   

kao što se vidi gore desno, ekran remote desktopa je snimljen 16. avgusta i od tada se nije više pojavljivao na ovoj IP adresi i sa otvorenim remote desktopom od strane Shodan-a što verovatno znači da ga je vlasnik sklonio radi sređivanja problema.

Nisam uspeo da nađem šta bi moglo značiti ovo ime računara "PREMSUR"

index.hr: Noćas propala piramidalna shema. Tisuće Hrvata ostale bez novca
index.hr: Kako su tisuće Hrvata nasjele na još jednu financijsku prevaru? 

   


   

https://www.bleepingcomputer.com/news/se...in-attack/

Lista sa IoC: https://www.securityalliance.org/news/20...pply-chain

Quote:Sa zadovoljstvom pozivamo sve one koji žele da se informišu o razvoju prava na privatnost, savremenim izazovima po zaštitu privatnosti, posebno u kontekstu razvoja novih tehnologija i bezbednosnih pretnji, ali i o načinima na koje mogu da ostvare i zaštite svoje pravo na privatnost u različitim sferama života, da se prijave za učešće u ovogodišnjoj Školi privatnosti. Program je prilagođen početnom nivou znanja iz ove oblasti.

Program Škole će trajati četiri i po nedelje (od 21. oktobra 2025. do 18. novembra 2025. godine) i sastojaće se od 9 online predavanja, koja će biti organizovana utorkom i četvrtkom  od 18:00 do 19:30. 

Učešće u Školi privatnosti je besplatno za sve polaznike i polaznice.

https://www.partners-serbia.org/post?id=671

Hmmm ima jos sajtova iza IP
IP:
142.251.32.99:443
172.253.63.84:443
43.160.247.80:443
142.250.176.202:443
142.250.65.164:443
104.26.9.44:443
142.251.40.234:443
142.250.80.10:443
142.251.40.193:443
151.101.194.208:443
142.251.40.174:443
142.250.80.67:443
142.250.80.42:443
142.250.81.238:443
142.251.41.14:443

nemam SMS ili mejl ali sam otkrio sajt...

inače ista IP adresa kao i sveže otkrivena mts fišing prevara

   

ista lažna Stripe stranica za navodno plaćanje kao i na mts prevari :

   

Quote:eSigurnost Association, for the ninth time, independently organizes eSecurity conference that will bring together professionals in the field of Information Security, top speakers from our country, region and the world.

više info https://esecurity.rs/

agenda https://esecurity.rs/wp-content/uploads/...ndafin.pdf