Poljski javni sajtovi izloženi riziku zbog ranjivog CMS-a
Dvojica bezbednosnih istraživača, Robert Kruczek i Kamil Szczurowski, pronašla su bezbednosne propuste kod više od 10.000 javnih subjekata u Poljskoj i na oko 250.000 njihovih sajtova. Nalazi obuhvataju aerodrome, bolnice, državne kancelarije i sudove, a posebno se izdvajaju ranjivosti u sistemu za upravljanje sadržajem Pad CMS.
Pristup javnim sajtovima bez lozinke
Kruczek i Szczurowski predstavili su istraživanje na konferenciji Def Con u Las Vegasu. Njihov cilj bio je da procene stanje javno dostupnih sistema u Poljskoj i pronađu način da se prijavljeni propusti otklone.
U široko korišćenom Pad CMS-u identifikovali su kritične ranjivosti koje su omogućavale lak pristup ka više od 300 javnih veb-sajtova bez potrebe za lozinkom. Pad CMS služi vlasnicima sajtova za organizovanje i prikaz sadržaja, pa propust u takvom sloju može ugroziti veći broj nezavisnih organizacija koje koriste isti proizvod.
Proizvođač nije zakrpio taj softver jer je proizvod označen kao end of life, odnosno više nije podržan. Ovaj detalj pokazuje operativni rizik koji nastaje kada javni sistemi ostanu vezani za proizvod bez aktivnog održavanja i bez dostupnih bezbednosnih ispravki.
Pravosuđe i javne službe kao važna meta
Druga ranjivost omogućila je pristup sajtovima približno dve trećine poljskog pravosuđa, odnosno oko 245 sudova. Istraživači su naveli i da su neke greške bile veoma jednostavne za zloupotrebu, ali da prijave nisu uvek dobijale odgovarajući tretman. Pojedini dobavljači opisivali su prijavljene propuste kao neprijatnost, umesto kao bezbednosni prioritet.
Nalazi dolaze dok Poljska jača sajber odbranu nakon niza sumnjivih ruskih napada usmerenih na energetske i vodne pružaoce usluga. Deo tih napada oslanjao se na slabu sajber bezbednost, zbog čega stanje javno dostupnih sistema ima širi značaj od pojedinačnih veb-prezentacija.
Šta organizacije mogu da provere
Istraživači su rezultate prosledili državnim organima kroz zvanične kanale. Njihov rad ukazuje na potrebu da se bezbednosne prijave mogu poslati jasno i odgovorno, naročito kada propust pogađa usluge od javnog značaja.
Za organizacije je praktičan zaključak da redovno evidentiraju sve javno izložene sajtove i komponente, provere status podrške korišćenog softvera i utvrde ko prima prijave ranjivosti. Softver bez podrške, nejasna odgovornost i ignorisanje jednostavnih propusta zajedno mogu ostaviti ključne digitalne usluge dostupnim neovlašćenom pristupu.