Un hacker fait irruption dans la base de données du site du Parlement du Royaume-Uni, en exploitant une vulnérabilité de type injection SQL. L’incident révèle des pratiques très mauvaise passe et contestable de sécurité au nom de l’administration du site. Le trou de sécurité sur parliament.uk a été découvert par un hacker roumain greyhat passer par la ligne poignée de « Unu,« qui a pris l’habitude de tester sites Web de haut niveau pour les bugs similaires.
UNU «liste de résultats » dans la mesure inclut les sites Internet des plus grands éditeurs d’antivirus Kaspersky, BitDefender, F-Secure, Symantec, les journaux renommés, tels que The Tribute International Herald et The Telegraph FAI ou grandes, comme British Telecom, Tiscali et Orange France ou, Plus récemment, Yahoo! Locales.
Selon l’UNU, la vulnérabilité est située dans un script PHP utilisés sur la section lifepeeragesact.parliament.uk, qui ne parvient pas à désinfecter correctement les paramètres d’être passé à travers. Cela permet à un attaquant potentiel d’exécuter des requêtes SQL directement dans la base de données facilement en manipulant l’URL.
Les captures d’écran publiées par l’UNU révèlent que le serveur Web est exécuté sur Debian 4.0 (Etch) Linux 5.0.32 avec une base de données MySQL backend. Base de données Le site est appelé parliament_live: heureusement, il ne peut être consulté directement à partir d’un hôte distant.
Ce qui est plus déconcertant, c’est bien ce qu’est un pic dans le boîtier de base de données du tableau des comptes administratifs du site Web révélé. Tout d’abord, les mots de passe sont stockés au format texte brut, qui est un contrôle de sécurité majeurs. Deuxièmement, les mots de passe sont très faibles du point de vue sécurité, nombreux étant identique au nom d’utilisateur auxquels ils sont associés et la quasi-totalité d’entre eux étant des mots communs.
Un des comptes, appelé « fullera » est susceptible d’appartenir à Alex Fuller, qui, selon sa page de profil LinkedIn, est actuellement employé en tant que productrice web senior pour le Parlement britannique. Deux autres comptes qui ont retenu notre attention sont appelés « Reida» et «mousse», mais nous sommes incapables de confirmer si elles appartiennent à M. Alan Reid, député libéral-démocrate, et M. Malcolm Moss, député conservateur.
Unu revendiqué dans le passé qu’il avait pratiqué la divulgation de la vulnérabilité au fond, mais juste pour être du bon côté, nous avons effacé toutes les informations potentiellement sensibles sur les copies d’écran ci-dessous. Nous avons également informé le xevonaute du site du Parlement du Royaume-Uni sur ce problème nous-mêmes.