Beveiligingsprobleem CMS resulteerde in wissen van website

[DJMaze]

Er zit een groot beveiligingsprobleem in een CMS dat gebruik maakt van IBM Lotus Domino.
Hier kwam ik achter tijdens het maken van een webscrape voor een klant om zijn website te backuppen.
Nu heeft de scrape een paar pagina's gewist.

De partij die het CMS ontwikkeld is reeds ingelicht.

Kunnen zij mij verantwoordelijk stellen?

[ Voor 14% gewijzigd door DJMaze op 24-11-2015 20:58 ]

[lordgandalf]

Als de webscrape in opdracht is gedaan van het beste bedrijf dan lijkt me niet dat hun jouw aansprakelijk kunnen stellen. En ik neem aan dat je een backup hebt van de betreffende paginas ?
Volgens mij valt het allemaal dus wel mee maar IANAL aka ik ben geen advocaat.
Daarnaast begrijp ik dat je hier achter bent gekomen omdat de webscraper iets deed op de website dat de paginas verdwenen zijn dus jij persoonlijk hebt niks fouts gedaan toch ?

[begintmeta]

Je kan altijd verantwoordelijk/aansprakelijk worden gesteld, de vraag is of je het bent. Ik denk dat je iets beter moet beschrijven wat er precies aan de hand is als mensen iets zinnigs daarover moeten kunnen zeggen.

[DJMaze]

Je kan elke pagina van een website verwijderen door ergens in de url "delete" te plaatsen.
Er wordt dus totaal niet gevraagd om een login of iets anders.

Heb het bedrijf gebeld en zij zouden direct actie ondernemen.

[Question Mark]

Maar wat is er nu gebeurd?

Jij hebt een opdracht gekregen om de inhoud van een website te backuppen middels een door jou ontwikkelde scraper, maar er is iets fouts gegaan en er is nu content verdwenen?

If so, dan ligt het maar net aan het contract wat er afgesproken is. Als een ZZP-er verantwoordelijk is voor het aanbrengen van schade ergens, dan is hij verantwoordelijk daarvoor. Er zijn niet voor niets veel aansprakelijkheidsverzekeringen voor ZZP-ers....

In dit geval is het de vraag of jij verantwoordelijk bent voor de schade, de beheerder van de website wegens het niet patchen, of de leverancier van het CMS.

Zonder meer informatie is het lastig om daar over te oordelen.

[ Voor 4% gewijzigd door Question Mark op 24-11-2015 16:38 ]

[MsG]

Hoezo heb je het nodig gehad om ergens in de querystring delete bij te voegen? Klinkt alsof je het uit nieuwsgierigheid hebt geprobeerd en daarmee de boel hebt verkloot. Uiteraard slecht van de websitebouwer, maar het lijkt me niet dat je er alleen mee wegkomt dat dit een beveiligingsprobleem is. Je hebt dat beveiligingsprobleem namelijk onbedoeld misbruikt.

[markvt]

Was je wellicht ingelogd als een beheer-gebruiker en heb je ook beheer links gescraped?

[ Voor 3% gewijzigd door markvt op 24-11-2015 16:47 ]

[chaoscontrol]

MsG schreef op dinsdag 24 november 2015 @ 16:45:
Hoezo heb je het nodig gehad om ergens in de querystring delete bij te voegen? Klinkt alsof je het uit nieuwsgierigheid hebt geprobeerd en daarmee de boel hebt verkloot. Uiteraard slecht van de websitebouwer, maar het lijkt me niet dat je er alleen mee wegkomt dat dit een beveiligingsprobleem is. Je hebt dat beveiligingsprobleem namelijk onbedoeld misbruikt.

Misschien waren die links gescraped uit de site en bij het benaderen van die URL de actie uitgevoerd? Klinkt sowieso als een kut-app als je zo dingen kan verwijderen.

[DJMaze]

Goed, bij deze meer info.
Ik kon geen duidelijke CVE vinden bij IBM dus wat ik hier schrijf is natuurlijk ook kantjeboord.

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

En ja, uit nieuwsgierigheid getest op een andere website, en daar werkte het ook.
Op weer een andere werkte het niet, die vroeg om http authenticatie.

Zou fijn zijn als er een IBM guru kan antwoorden.

Heb ook bij de NCSC de vraag gesteld wat ik er mee aan moet.

[ Voor 16% gewijzigd door DJMaze op 24-11-2015 20:58 ]

[nachtnet]

DJMaze schreef op dinsdag 24 november 2015 @ 17:14:
Goed, bij deze meer info.
Ik kon geen duidelijke CVE vinden bij IBM dus wat ik hier schrijf is natuurlijk ook kantjeboord.

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

En ja, uit nieuwsgierigheid getest op een andere website, en daar werkte het ook.
Op weer een andere werkte het niet, die vroeg om http authenticatie.

Zou fijn zijn als er een IBM guru kan antwoorden.

Heb ook de NCSC de vraag gesteld wat ik er mee aan moet.

Zet de betreffende stukjes ook even in members only tags.. dan kan niet iedereen met google dit stukje vinden.

[Orion84]

De vraag is of het een fout is in het CMS dat dergelijke links aan te roepen zijn zonder ingelogd te zijn, of een fout in de configuratie.

[DJMaze]

nachtnet schreef op dinsdag 24 november 2015 @ 17:22:
Zet de betreffende stukjes ook even in members only tags.. dan kan niet iedereen met google dit stukje vinden.

Thanks, done!

[DJMaze]

Question Mark schreef op dinsdag 24 november 2015 @ 16:38:
In dit geval is het de vraag of jij verantwoordelijk bent voor de schade, de beheerder van de website wegens het niet patchen, of de leverancier van het CMS.

Zonder meer informatie is het lastig om daar over te oordelen.

Thanks, op basis van jouw tekst heb ik mij even in het IBM wereldje gestort.
Het lijkt er op dat men de ACL's niet goed instelt.