Vulnerabilidad en “JBoss Application Server” deja vulnerables a múltiples sitios del gobierno
Este tema no es nuevo, ni tampoco es un truco oculto desde lo mas profundo del underground, es tan solo una vulnerabilidad más que ha sido publicada abiertamente por diversos sitios de los cuales algunos han dado una solución muy temporal.
El problema en esta ocación no es el software utilizado ya que la solución fué expuesta y con un poco de imaginación sin esfuerzo se hubiera corregido.
El principal problema estába entre el asiento y el teclado (como dice un amigo) XD, y la historia dice masomenos así:
La vbulnerabilidad es principalmente por la visibilidad del panel de administración sin un sistema de seguridad mínimo como pedir nombre de usuario o una contraseña simplemente, a raiz de esto queda al descubierto. Dicho panel se encuentra alojado sobre un puerto que el mismo administrador utilizando una conección ssl.
Este problema era muy similar al de Oscommerce … y supongo que ustedes los lectores ya sabrán a lo menos una solución lógica para este sistema programado por alguien que no le interesa la seguridad, y me refiero a un archivo de configuración de acceso "HTACCESS ".
Problema1: El primer problema fué instalar un sistema que usaba otro sitio importante pensando "Si un sitio importante lo usa es porque es bueno" y como el administrador no sabe que instalar entonces lo utiliza, o talves el dueño conoció un amigo que lo usa y nunca ha tenido problemas aún sabiendo solamente excel y outlook.
Problema2: Administrar un sitio no es sentarse a ver el monitor viendo que cosas ponerle al sitio para que se vea mas agradable, tampoco es observar los correos o comentarios del sitio. Un administrador vela por el servidor, lo administra por lo cual se preocupará del sistema que está utilizando y si de alguna manera cumple con los requisitos mínimos del visitante deseado y no deseado . Velar por el estado de cada servicio, verificar que pasa por su tráfico de red, pensar un poco "que pasaría si …".
Problema3: El administrador no sabe y/o no le importa lo que significa la palabra "Seguridad" mientras no le paguen mas de lo normal ya que nada cuesta buscar en google, es tán fácil como poner el nombre del sistema y comenzar a ver si hay algún link relacionado con alguna vulnerabilidad, también debe actualizar el sistema cada ves que el creador de dicho software saca una nueva versión (ya que las actualizaciones no son para que se vea mas bonito, sino que puede comprometer aspectos graves de seguridad), leer constantemente sitios de avisos de vulnerabilidades como Securityfocus como mínimo o Seclist de insecure.org, etc y no es cosa de Hackers saberlo, todo lo contrario… es básico.
Problema4: Aún después de mucho tiempo nadie se ha preocupado del tema ya que como lo expliqué antes… nadie sabe y/o no les interesa.
GoogleDorks:
http://www.google.com.au/search?hl=es&q=inurl%3AinspectMBean+%2B+.gov&btnG=Buscar&meta=
8,290 resultados
Sin considerar los sitios que no sean del gobierno.