Hacker schiet gaten in website McAfee
De website van beveiligingsbedrijf McAfee zit vol lekken, waardoor aanvallers toegang tot vertrouwelijke informatie kunnen krijgen, zo hebben onderzoekers ontdekt. De ontdekking is opmerkelijk, aangezien McAfee bedrijven juist adviseert in het beveiliging van hun website. De kwetsbaarheden werden op 10 februari door de YGN Ethical Hacker Group aan de beveiliger gemeld. Die liet weten de kwetsbaarheden zo snel als mogelijk te verhelpen. Zes weken later was de situatie nog steeds hetzelfde, waarop YGN de lekken op de Full-Disclosure mailinglist publiceerde.
De problemen bestaan uit cross-site scripting en Information Disclosure. Daarmee zou een aanvaller inloggegevens van gebruikers kunnen stelen en informatie kunnen verzamelen voor het uitvoeren van verdere aanvallen. Zo lekt de website een interne hostname en broncode van bestanden, waar mogelijk verdere aanwijzingen voor de aanvaller in kunnen staan. De "ethische hackers" adviseren McAfee om beter gebruik van de eigen experts te maken.
Door de lekken is ook het McAfee Secure keurmerk onder vuur komen te liggen. McAfee zegt dat het dagelijks bij websites op problemen controleert. "In andere woorden, de aanwezigheid van dit label betekent dat de website niet kwetsbaar is voor precies dezelfde lekken waar McAfee nu mee te maken heeft", zegt onderzoeker Pablo Ximenes.
Tel slechte detectie/testen dit jaar bij op. Dan blijft er weinig goede reclame meer over.
Hier een voorbeeldje van de "secure" short URL service: http://mcaf.ee/8a059
En hier een voorbeeldje van een een door McAfee als veilige website: http://www.vitaminstore.nl/GoogleCustomSearch.aspx?keywords=%27%29%3Balert%28%27XSS%27%29%3B%2F%2F
En ja, ik heb ze al in december geinformeerd hierover.
Feit is dat indien je McAfee SECURE (want zo heet het officieel) aanschaft en de IP-adressen van de scanner niet whitelist, dat je dan gewoon non-stop de badge kunt tonen inclusief datumstempel L) Logischerwijs worden er dan helemaal geen lekken gevonden en ben je volgens hen gewoon elke dag veilig bevonden. Hierdoor kunnen eigenaren van de websites die de badge dragen hun bezoekers gewoonweg in de maling nemen en natuurlijk henzelf.
Wij gebruiken zelf McAfee SECURE en verschillende andere tools voor onze websites, omdat wij gewoonweg het risico niet nemen dat er gevoelige gegevens van onze klanten op straat komen te liggen. Wij weten bij voorbaat al dat de tool van McAfee geen volwaardig wondermiddel (die bestaat niet) is, maar we kunnen door het samenvoegen van de resultaten van alle tools en handmatige tests wel een goed beeld maken van de risico's. Dus voor ons heeft McAfee SECURE weldegelijk waarde.
Natuurlijk grotendeels vanwege het marketing aspect en feit is dat wij door het tonen van de badge een toename zie in het verkopen op alle websites. Inmiddels hebben wij ook badges van andere bedrijven getest op de websites (GoDaddy, Trustwave, SecurityMetrics etc......). Waarbij wij geen noemenswaardige stijgingen in de verkopen aantroffen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.