Bijna 400.000 websites lopen volgens de Tsjechische beveiligingsonderzoeker Vladimír Smitka het risico om gehackt te worden. Oorzaak is dat de pagina’s een open .git-map hebben staan. Het gaat om /.git/HEAD, die niet publiekelijk toegankelijk zou moeten zijn.
Dit is gevaarlijk, omdat kwaadwillenden daardoor toegang kunnen krijgen tot huidige en oude bestanden met informatie over de structuur van de website, of gevoelige data als wachtwoorden voor databases. Dat stelt Smitka tegenover ZDNet. Daardoor kan een aanvaller langzaamaan de git repository van een website aanpassen. Ook is het mogelijk om te zien welke libraries er gebruikt worden en vanuit daar potentiële kwetsbaarheden te vinden.
De onderzoeker scande in een maand tijd 230 miljoen “interessante” websites wereldwijd. 390.000 pagina’s daarvan bleken dit probleem te bevatten. Op sommige van de websites vond Smitka wachtwoorden van databases en uploaders zonder authenticatie.
De scan begon met websites in Tsjechië en Slowakije. Maar nadat Smitka zoveel kwetsbare websites vond, besloot hij de scan uit te breiden. Een andere reden om de scan op grote schaal uit te voeren, is omdat het relatief makkelijk bleek om de contactgegevens van de eigenaars van de websites te vinden. Daardoor kon hij contact opnemen, zodat de eigenaren het probleem konden oplossen.
Notificaties
Smitka verstuurde 2.000 notificaties naar eigenaars van kwetsbare websites. Na een maand scande hij de websites opnieuw en ontdekte dat de kwetsbaarheid nu op nog maar 874 websites voorkwam. Dat betekent dat 55 procent van de mensen die het bericht ontvingen, het probleem verholpen heeft.
Na de wereldwijde scan heeft Smitka nog eens 90.000 e-mails verstuurd. In totaal kreeg hij 300 berichten van slachtoffers en 2.000 e-mails met een bedankje.
2 uur geleden
