Cảnh báo lỗi SQL Injection và Unauthenticated trên website VietnamWorks.com

Vừa qua một lỗ hổng nghiêm trọng đã được phát hiện trên website VietNamWorks.com. Khai thác lỗ hổng này hacker có thể lấy toàn bộ hơn 2 triệu thông tin về tài khoản người dùng trên hệ thống.

Vietnamworks.com là website hàng đầu về tìm kiếm việc làm trực tuyến, là đầu mối đưa nhà tuyển dụng đến người tìm việc. Hiện tại Vietnamworks.com đã có đến hơn 2.3000.000 người.

Vị trí phát hiện có lỗi

http://www.vietnamworks.com/jobseekers/resume_load_contact.php?resumeid=XXXXX&ct_lang=1

[Encoding Unicode (UTF-8)]

Mô tả chi tiết lỗi

Mã nguồn file resume_load_contact.php đã bỏ qua yêu cầu chứng thực người dùng. Cho phép một người dùng bình thường trên internet có thể khai thác thông tin cá nhân của hàng ngàn ứng viên có hồ sơ (CV) trong cơ sở dữ liệu (các thông tin bao gồm: Họ tên, ngày sinh, địa chỉ, điện thoại…).

Bằng cách thay đổi số định danh của từng CV (resumeid). Hacker có thể thu thập được thông tin của tất cả các ứng viên có dữ liệu bên Vietnamworks.

Video khai thác lỗi

Ngoài ra tại vị trí này còn phát hiện ra lỗi SQL Injection cho phép hacker chèn vào các câu lệnh khai thác cơ sở dữ liệu MySQL của Vietnamworks để truy vấn thu thập các thông tin quan trọng.

Khi hacker tấn công và làm chủ được cơ sở dự liệu thì có thể có đến hơn 2 triệu thông tin cá nhân bị lấy cắp. Với số dân hiện tại của Việt Nam là 88,78 triệu trong đó số dân thuộc nhóm “Lực lượng lao động” khoảng 51 triệu thì con số trên 2 triệu thông tin cá nhân bị lấy cắp thực sự là rất lớn.

Hiện tại lỗi đã được VietNamWorks.com khắc phục.