image

Toch geen SQL-injectie op website Symantec

zaterdag 21 februari 2009, 09:39 door Redactie, 3 reacties

De hacker die eerder bij Kaspersky Lab, F-Secure en BitDefender een SQL-injectie aanval uitvoerde, dacht ook beveiligingsgigant Symantec beet te hebben. Hij juichte echter iets te vroeg. Hacker Uno beweerde dat SQL-injectie op de promotiepagina mogelijk was en waarschuwde Symantec. De beveiliger reageerde voor Uno's doen niet snel genoeg, waarop hij zijn bevindingen publiceerde.

Die blijken niet te kloppen, zoals Symantec laat weten: "Na verder onderzoek kunnen we vaststellen dat "blind SQL-injectie" niet effectief is." Iets wat de hacker bevestigt, die tevens blij is met de reactie van de beveiliger. "We waarderen en steunen dit soort reacties van een bedrijf, en al helemaal van een vendor! Dit helpt andere organisaties om te zien en begrijpen dat open communicatie en dialoog de beste manier is om dit soort zaken aan te pakken."

Update: Reactie Symantec toegevoegd

Reacties (3)
21-02-2009, 12:06 door [Account Verwijderd]
[Verwijderd]
21-02-2009, 12:13 door Eerde
Het originele Engelse stukje klinkt toch heel anders en vooral positiever:
Symantec: "We would like to provide you with an update on the vulnerability reported yesterday, on hackersblog.org, for the emea.symantec.com website. Upon thorough investigation, we have determined that the Blind SQL Injection is, in fact, not effective. The difference in response between valid and injected queries exists because of inconsistent exception handling routine for language options.

Thanks again for notifying us of the issue. We will have the modified page up again soon with better exception handling."

HackersBlog note: "We appreciate and support this type of response from a company, more so a vendor! This could help other organisation see and understand that the best way to approach things is by open communication and dialog."
21-02-2009, 20:22 door [Account Verwijderd]
[Verwijderd]
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.