Noto’g’ri sozlangan DJANGO ilovalari maxfiy API kalitlarini fosh qilmoqda

Noto’g’ri sozlangan DJANGO ilovalari maxfiy API kalitlarini fosh qilmoqda

Tadqiqotchilar administratorlar nosozliklarni tuzatish rejimini o’chirishni unutgan 28 165 ta Django ilovasini aniqladilar.

Xavfsizlik tadqiqotchilari API kalitlari, server parollari va AWS (Amazon Web Services) kirish tokenlari kabi maxfiy ma’lumotlarni oshkor qilgan bir qator noto’g’ri konfiguratsiya qilingan Django ilovalarini aniqladilar.

Xavfsizlik bo’yicha tadqiqotchi Fabio Kastro Bleeping Computer nashriga bergan intervyusida, bu muammoning asosiy sababi shundaki, dastur ishlab chiquvchilari nosozliklarni tuzatish rejimini o’chirishni unutishadi.

Kuchli va sozlanishi mumkin bo’lgan Python freymvorki bo’lgan Django ko’pincha veb-ilovalar va intranetlarni yaratish uchun ishlatiladi.

Tadqiqotchining so’zlariga ko’ra, u administratorlar nosozliklarni tuzatish rejimini o’chirishni unutgan 28 165 ta Django ilovasini aniqladi. Bir nechta serverlarni tekshirish paytida tadqiqotchi ushbu ilovalarning ko’pchiligidagi nosozliklarni tuzatish rejimi juda maxfiy ma’lumotlarni fosh qilishini va potentsial tajovuzkorga ilova egasining ma’lumotlariga to’liq kirish imkonini berishini aniqladi. Ba’zi hollarda ma’lumotlar bazasi parollari va AWS kirish tokenlari ilova egasining IT infratuzilmasining boshqa qismlari haqida ham ma’lumotlarni o’z ichiga olgan.

Xavfsizlik bo’yicha tadqiqotchi Viktor Geversning so’zlariga ko’ra, Django ilovalarini ishga tushiradigan ba’zi serverlar allaqachon buzib kirilgan. Xususan, mutaxassis kamida bitta buzib kirilgan serverni aniqladi. Zaif serverlarning ba’zilari muhim operatsiyalarni amalga oshiruvchi turli davlat idoralariga tegishli.

Tadqiqotchi allaqachon server egalarini noto’g’ri sozlangan ilovalar haqida xabardor qilishni boshlagan. «Biz hozirgacha 1822 ta server haqida xabar bergan edik. Ulardan 143 tasida muammo bartaraf etilgan yoki ular oflayn rejimga o‘tkazilgan», – dedi u.