Уязвимости на сайте олимпиады МИФИ позволяют хакеру стать победителем

Уязвимости на сайте олимпиады МИФИ позволяют хакеру стать победителем

Уязвимости на сайте олимпиады МИФИ позволяют хакеру стать победителем

На сайте org.mephi.ru найдены уязвимости, использование которых позволяет участнику олимпиады «Росатом» заранее получить задачи, изменять ответы, а также получить доступ к сессиям и данным других пользователей. В МИФИ признали наличие ошибок в коде, временно закрыли сайт и ведут работы по поиску и латанию других брешей на портале.

В этом году из-за COVID-19 физико-математическая олимпиада школьников проводится в МИФИ онлайн. Участие в этом состязании дает старшеклассникам шанс попасть в вуз без вступительных экзаменов.

Уязвимости, о которых стало известно «Известиям», классифицируются как «внедрение SQL-кода» (SQLi) и «межсайтовый скриптинг» (XSS). Взлом сайта МИФИ через их эксплойт теоретически позволяет хакеру изменить результаты олимпиады в свою пользу.

Атаку на org.mephi.ru через цепочку уязвимостей, которую эксперты признали рабочей, можно провести за одну секунду. Взломщику достаточно заменить всего три символа в коде, и он получит доступ ко всем персональным данным олимпиады, а также сможет выгрузить задания.

Причиной появления уязвимостей SQLi и XSS обычно является неадекватная проверка / санация данных, вводимых пользователем. К сожалению, такие ошибки в проектах до сих пор широко распространены.

«При разработке сайтов и приложений вопросы безопасности, увы, всегда на втором плане, — сетует глава ИБ-отдела «СёрчИнформ» Алексей Дрозд, комментируя находку для «Известий». — В первую очередь стоит вопрос функциональности. И хотя принцип secure by design часто декларируется разработчиками, на деле реализуется в лучшем случае по остаточному принципу».

Вместе с тем эксперт считает, что риска массового использования этих уязвимостей нет. МИФИ же, скорее всего, понесет имиджевые потери.

Получив информацию о находках, ИБ-служба МИФИ подтвердила наличие ошибок в коде используемых проектов.

«Информируем вас об оперативной реакции профильных служб университета на вышеуказанный сигнал редакции о том, что “сайт подвержен SQL-инъекциям и XSS-уязвимостям”, и о незамедлительной работе по выявлению потенциальных уязвимостей на портале НИЯУ МИФИ», — пишет представитель вуза в ответ на запрос «Известий».

Уязвимый сайт МИФИ в настоящее время находится вне доступа. На странице-заглушке размещено следующее сообщение: «Уважаемые школьники! На сайте org.mephi.ru ведутся технические работы, сайт временно недоступен. Срок завершения предварительных туров олимпиад при необходимости будет продлен».

Подпишитесь на новости

ЦБ хотят обязать сообщать налоговой о регулярных переводах между физлицами

Минфин хочет, чтобы Центробанк передавал в ФНС сведения о гражданах, чьи операции по счетам обладают признаками систематического получения доходов от иных физических лиц. Поправки внесены ко второму чтению законопроекта № 617-9 из бюджетного пакета и касаются статьи 85 Налогового кодекса.

Об этом сообщает «Интерфакс» со ссылкой на источник, знакомый с текстом поправок.

Сейчас статья 85 обязывает передавать в налоговую учетные сведения о гражданах и организациях. ЦБ, если поправки примут, будет сообщать о людях, выявленных по анализу операций. По каким признакам их будут отбирать, в какой форме и как часто передавать данные, определит отдельное соглашение ЦБ и ФНС.

Поправки также расширяют возможности налоговой запрашивать выписки по счетам граждан без статуса ИП. Сейчас ФНС может сделать это только при взыскании долга, налоговой проверке или истребовании документов, причем с согласия вышестоящего руководителя или центрального аппарата службы. Сведения от ЦБ станут новым основанием для такого запроса.

Если закон примут, норма вступит в силу 1 января 2027 года и будет касаться операций, совершенных после 1 января 2026 года. Комитет Госдумы по бюджету и налогам планирует обсудить поправки в воскресенье.

В начале недели в Госдуму внесли законопроект № 32298-9, по которому банки с 1 марта 2028 года должны будут ограничивать входящие переводы от других граждан суммой 30 тыс. рублей в месяц для клиентов, подозреваемых в сомнительных операциях.

Еще один законопроект, внесенный правительством в марте, обязывает ФНС передавать ЦБ сведения об открытии и закрытии счетов и о категориях доходов граждан.

RSS: Новости на портале Anti-Malware.ru