eSigurnost, udruženje stručnjaka i načnika iz oblasti informacione bezbednosti izdaje saopštenje povodom lansiranja nove web prezentacije Vlade Srbije koja se nalazi na adresi http://srbija.gov.rs

Odmah po lansiranju sajta u javnosti su se pojavile informacije o postojanju ozbiljnih bezbednosnih propusta u aplikaciji.
Javno je na Twitteru objavljen PoC (proof of concept) XSS ranjivosti (Cross-site Scripting) koja, iako jedna od najčešćih ranjivosti u web aplikacijama, može biti veoma opasna po vlasnika i korisnike sajta.

Slika 1: PoC XSS ranjivosti objavljen na Twitter-u

Objavljeni propust u aplikaciji nalazi se u funkcionalnosti pretrage koja ne filtrira korisničke inpute. Filtriranje korisničkih inputa je nešto što apsolutno svaka web aplikacija obavezno treba da ima implementirano.
Kako filtracija ne postoji, ili je slaba, napadači imaju mogućnost da na sajtu izvršavaju svoje skripte a takva situacija veoma je opasna i može dovesti do drugih ozbiljnijih napada.

Naši stručnjaci su u međuvremenu izvršili neinvanzivnu analizu bezbednosti web aplikacije i ustanovili i druge moguće bezbednosne probleme.
Zbog etičkih načela kojih se kao udruženje pridržavamo, konkretni testovi nisu izvršeni ali određene uočene funkcionalnosti, ukoliko se ispostavi da su ranjive, mogu imati ozbiljne bezbednosne implikacije koje mogu omogućiti napadaču potpunu kontrolu nad aplikacijom.

Mišljenja smo da web aplikacija ove važnosti, za našu Vladu ali i za kompletnu našu zemlju i građane Srbije, nedvosmisleno treba da poseduje izuzetan nivo bezbednosti.
Ono što trenutno vidimo pred nama govori nam suprotno i apelujemo da se to promeni.
Pozivamo nadležne organe da reaguju i da što pre organizuju profesionalnu procenu ranjivosti (vulnerability assessment) i testove penetracije (penetration testing), koji po ovome što možemo da vidimo, definitivno nisu sprovedeni.

Udruženje građana eSigurnost spremno je da svojim kapacitetima i znanjima pruži podršku Vladi Srbije u rešavanju ovog problema.

Ovo je nešto što se tiče svih nas, naše bezbednosti ali i ugleda Republike Srbije.