Trang web của Wall Street Journal bị hack

Một tin tặc mũ xám người Rumani đã tiết lộ một lỗi SQL Injection nghiêm trọng của trang CEO Council của tờ báo Wall Street Journal. Sự kiện này cho thấy toàn bộ máy chủ có thể dễ dàng bị tấn công nếu vấn đề bảo mật không được chú ý khi thiết kế website.

Wall Street Journal (WSJ) là một trong những tờ báo hàng đầu của Mĩ, và từ tháng 10/2009, vượt qua USA Today để trở thành báo có lượng thông tin lớn nhất trong nước. Lĩnh vực của WSJ chủ yếu là tin tức kinh doanh và xã luận.

Lỗ hổng ảnh hưởng đến trang web ceocouncil.wsj.com được phát hiện bởi một người có biệt danh là Unu. CEO Council là nơi làm việc do WSJ xây dựng, nơi có cả trăm CEO cao cấp, các nhà hoạch định chính sách và các thành viên của Quốc hội Mĩ tham gia thảo luận về những vấn đề quan trọng liên quan đến quốc gia.

Lỗ hổng bảo mật được phát hiện lần này là cực kì nghiêm trọng, bởi ngoài lỗi thiết kế, thì còn có lỗi quản trị hệ thống.

Trước hết, khi chức năng load_file được kích hoạt, tin tặc có thể tìm một nơi nào đó và tải shell bằng PHP lên, sau đó gần như có thể kiểm soát toàn bộ máy chủ.

Hơn nữa, Unu xác định được một user tên là “ffi2009uk” từ cơ sở dữ liệu MySQL, user này có quyền truy cập vào máy chủ, từ bất kì máy nào (%) mà không cần đến mật khẩu. Điều này có nghĩa là từ bất kì đâu, bất kì ai cũng có thể kết nối vào máy chủ MySQL của WSJ mà không cần mật khẩu.

Chưa hết, bên trong cơ sở dữ liệu của WSJ, mật khẩu của các quản trị viên và các thành viên của CEO Council được lưu dưới dạng văn bản thô mà không được mã hóa - một sự bất cẩn và cực kì thiếu an toàn. Thông tin cá nhân, thông tin liên lạc của các nhà báo và các cơ quan truyền thông như tên, địa chỉ, số điện thoại và các tổ chức họ làm việc cũng bị lộ theo lỗ hổng này.

Theo Unu, anh đã thông báo cho các quản trị WSJ trước khi công bố lỗ hổng này trên blog của mình. Hiện giờ trang CEO Coucil đã được ngắt ra khỏi Internet và vẫn chưa hoạt động lại. Các nạn nhân cao cấp khác của Unu gồm có: Symantec, The International Herald Tribune, The Daily Telegraph và Nghị Viện Anh...