Otra vez sopa... esta vez la UCA (Universidad Católica Argentina)



El día de hoy, y luego de mucho tiempo, les traigo otro descuido en una universidad. En este caso se trata de la Universidad Católica de Buenos Aires, donde debido a la utilización de carpetas desprotegidas y contraseñas por defecto se puede acceder a un administrador (PhpMyAdmin) de las base de datos MySQL que utiliza para su blog que aún se encuentra en construcción.




Como se puede observar en la captura anterior es posible acceder al popular gestor de bases de datos PhpMyAdmin donde se pueden realizar modificaciones directamente sobre la base de datos alojada en el servidor de la UCA.




La misma posee desde cada entrada publicada en el blog hasta todos los usuarios registrados dentro de la popular plataforma de publicación Wordpress con sus respectivas contraseñas encriptadas.




Como se pueden imaginar esto no solo es peligroso por el posible daño a la imagen pública de la entidad, sino también por la perdida de registros dentro de su base de datos y un posible intento de escala de privilegios mediante la inserción de una shell llamada desde un sitio externo.




En este caso no es tan critico el error ya que el blog no se encuentra en producción, pero si alguien quisiera ingresar al servidor de esta universidad esto le facilitaría el 70% del trabajo.


¿Cómo solucionarlo?

  •  En primer lugar proteger la carpeta en la que se alojan los archivos de PhpMyAdmin con htaccess, mas allá que dicho sistema tenga su propio control de acceso.
  • Que el nombre de la carpeta en la cual se aloja PhpMyAdmin sea distinta al nombre del mismo.
  • Nunca utilizar contraseñas por defecto y siempre intentar que las mismas sean alfanuméricas y que posean al menos una mayúscula, un número, un símbolo y un mínimo de 8 caracteres.


Ximo

Posteado a las 10:00 el viernes, 2 de julio de 2010 por Ximo y lo metio en , | 2 Comments »