[milos_rs]

Mali sažetak ovog otkrića, snimke ekrana ovog propusta možete naći u ranijim komentarima na ovu objavu...

Portal za prijavljivanje na studentske i učeničke kredite i stipendije nalazi se na kreditistipendije.prosveta.gov.rs i na njemu kandidati mogu da se prijave kao i da provere status svojih prijava, podnesu prigovore itd.

Ovaj propust je otkriven početkom Aprila, prijavljen nacionalnom CERTu od strane otkrivača ranjivosti, i ispravljen oko mesec dana kasnije.

•  Koja je ranjivost u pitanju?
  

Otkrivena ranjivost na portalu omogućava autentifikovanim korisnicima sa nalogom na portalu da direktnim API upitima pristupe ličnim podacima drugih korisnika ovog portala tako što će u upitu menjati ID broj kandidata za stipendije. Ovakva ranjivost se zove "nebezbedne direktne reference na objekte", poznatija po engleskoj skraćenici IDOR.

•  Obim propusta
  

Propust je omogućavao da se preko više različitih krajnjih tačaka na APIju portala pristupi podacima za koje trenutno ulogovan korisnik ne bi trebao da bude autorizovan. 
Otkriveno je da se preko jedne krajnje tačke mogao koristiti bilo koji ID broj kandidata, preko druge je mogao da se koristi bilo koji ID broj prijave na kredite/stipendije. 
Postoji i treća krajnja tačka koja izgleda služi za mobilni pristup koja takođe vraća iste vrednosti kao i ostale tačke. 
Može se reći da ceo portal omogućava IDOR na svim krajnjim tačkama APIja te da nije obezbeđena kontrola pristupa i nema verifikacije identifikatora koji korisnik pošalje pri zahtevu podataka.

Među podacima kojima je bilo moguće pristupiti su između ostalog lični podaci kandidata za stipendije kao što su JMBG, adresa stanovanja, mejl adresa, broj telefona, kao i podaci o školi za koju se kandiduje. Takođe je bilo moguće videti i lične podatke roditelja kandidata kao i broj kartice pod kojom se uplaćuje stipendija u poštanskoj štedionici.

•  Šta je zapravo ovaj portal?
  

Ovde moram malo da špekulišem jer nemam direktna saznanja. Meni ovaj portal liči na kloniranu i modifikovanu eUpravu, jedan od razloga za to je ova greška koju portal daje, koja je identična greškama na samom portalu eUprave :

   

Takođe i dizajn portala liči dosta, mada moguće je da koriste neki svoj interni okvir za sve državne portale, što je standardna praksa u slučajevima gde se radi na više različitih "proizvoda" koji koriste isti ili sličan pozadinski sistem.

Ovo je pokazatelj loše sigurnosne prakse u Kancelariji ITE i kod onih koji to sve zapravo programiraju i testiraju koji god da su eksterni učesnici raznih sumnjivih tendera.

Pored ovog propusta koji ukazuje na lošu sigurnosnu praksu, desio se još jedan sličan propust na samom portalu eUprave : eUprava elektronska narodna inicijativa - neautentifikovan IDOR otkriva lične podatke