Niebezpiecznik

Jeden z naszych czytelników, Michał Plichta z Częstochowy, poinformował nas o błędzie SQL injection w systemie rekrutacji do szkół ponadgimnazjalnych Nabór Optivum, który rok temu przetworzył dane 59% wszystkich absolwentów gimnazjów w Polsce. Błąd umożliwia manipulację ocenami, co może skomplikować proces rekrutacji do wybranej przez ucznia szkoły ponadgimnazjalnej. Dodatkowo, według Michała, atakujący przy pomocy tego błędu może uzyskać dostęp do danych gimnazjalistów. Autorzy systemu potwierdzają błąd, ale twierdzą, że zagrożenie jest nikłe, a atakujący nie miał możliwości dostępu do danych osobowych.

SQL injection w Nabór Optivum / KSEON

Jak informuje Michał, podczas wypełniania formularza w systemie Nabór Optivum / KSEON zauważył on pewne nieprawidłowości — błąd typu SQL injection. Michał zastrzega, że nie zostały przez niego zmienione ani odczytane żadne dane z bazy należące do innych użytkowników, ale brak tych działań ma wynikać jedynie z jego dobrej woli, bo potencjalny atakujący przy pomocy tego błędu może, według Michała:

• podbić lub obniżyć średnią ocen wybranemu gimnazjaliście
• uzyskać dostęp do danych osobowych dowolnego, zarejestrowanego w systemie gimnazjalisty (producent zaprzecza, wyjaśnienie poniżej)

Dane Osobowe, które muszą wprowadzić Gimnazjaliści

KSEON Optivum - możliwość zawyżenia średniej ocen

Jak duże jest zagrożenie?

Z ogólnie dostępnych źródeł udało nam się dowiedzieć, że system w poprzednim roku przetworzył dane 59% wszystkich absolwentów gimnazjów w Polsce (15 województw; ponad 3 000 szkół, 259 000 uczniów) — zakładamy, że w tym roku było podobnie.

Z przewodnika po systemie wynika, że dane wprowadzone do systemu są na szczęście weryfikowane ręcznie z odpowiednimi dokmentami papierowymi, ale w przypadku, kiedy wartości “elektroniczne” nie zgadzają się z wartościami “papierowymi”, proces rekrutacji może zostać mocno skomplikowany — w instrukcji do Systemu Elektronicznego Wspomagania Rekrutacji Nabór Optivum czytamy:

Jeżeli informacja w Systemie będzie różnić się od informacji na podaniu, to podczas weryfikacji podanie zostanie odrzucone.

Łatwo sobie wyobrazić, że ktoś zechce dla żartu zmienić dane gimnazjaliście, aby utrudnić mu proces rekrutacji, dlatego wszystkim tegorocznym absolwentom gimnazjum korzystającym z systemu Nabór Optivum / KSEON zalecamy pilne sprawdzenie, czy dane w systemie są prawdziwe (nie zostały zmienione). W większości szkół jest już po wszystkich “terminach” i zmiany w systemie nie powinny wpłynąć na proces rekrutacji. Informacje o błędzie po raz pierwszy otrzymaliśmy jednak 22 czerwca.

Autorzy systemu odpierają zarzuty

Pierwsza próba kontaktu z autorami Systemu Elektronicznego Wspomagania Rekrutacji Nabór Optivum zakończyła się niepowodzeniem. Nasz e-mail przesłany na trzy adresy został przeoczony. Telefoniczne ponowienie kontaktu spowodowało jednak bardzo szybką i sprawną reakcję producenta. Oto pytania jakie zadaliśmy:

0. Czy potwierdzacie państwo obecność w/w błędu w swoim sytemie?
1. Ilu gimnazjalistów korzysta/skorzystało w tym roku z systemu KSEON Optivum?
2. Jakie dane może uzyskać atakujący wykorzystując zacytowany powyżej błąd SQL injection?
3. Czy możliwy jest scenariusz ataku, w którym atakujący zmienia szkołę, do której się dostał na inną?
4. Czy mogą Państwo stwierdzić, czy ktokolwiek uzyskał do systemu nieautoryzowany dostęp i zmodyfikował bądź odczytał dane gimnazjalistów?
5. Kiedy można spodziewać się poprawienia błędu?
6. Czy przed startem KSEON Optivum wykonywaliście Państwo testy bezpieczeństwa / testy penetracyjne?

A to odpowiedź jaką uzyskaliśmy od Radosława Wiktorskiego z firmy Vulcan:

Opisana (…) luka w istocie występowała w jednym fragmencie jednego formularza znajdującego się w systemie – formularz osiągnięć, część dotycząca innych zajęć edukacyjnych, jednakże wydaje się, iż nie miała ona istotnego wpływu na bezpieczeństwo funkcjonowania systemu.

Fragment formularza, którego dotyczy zgłoszenie, zawiera informacje na temat nazwy dodatkowych zajęć edukacyjnych, ich ewentualnej obowiązkowości oraz oceny z nich uzyskane. W praktyce większość uczniów nie posiada dodatkowych zajęć edukacyjnych, a także niezmiernie rzadko są one brane pod uwagę przy punktacji.

Zmiana szkoły kwalifikacji bądź przyjęcia w tego typu ataku jest niemożliwa. Dane wprowadzane do systemu są weryfikowane na poziomie szkół z dostarczonymi dokumentami. W momencie zatwierdzenia danych przez szkołę (czyli stwierdzenia, że dane wyświetlone na ekranie zgadzają się z dostarczonymi kopiami świadectwa i zaświadczenia o wynikach egzaminu gimnazjalnego), wyliczane są punkty rekrutacyjne, które przechowywane są w odrębnej strukturze danych. Na pierwszeństwo kwalifikacji wpływa liczba uzyskanych punktów. Zatem mamy dwa możliwe scenariusze:
1. Zmiana dokonana przed weryfikacją danych – zostanie poprawiona w trakcie weryfikacji zgodności danych w systemie z dostarczonymi dokumentami.
2. Zmiana dokonana po weryfikacji danych – nie wpływa na punktację, która została wyliczona w momencie weryfikacji, a co za tym idzie nie wpływa na kwalifikację.
W obu tych scenariuszach wpłynięcie na wyniki rekrutacji jest niemożliwe.

Zidentyfikowana luka dawała możliwość uzyskania dostępu wyłącznie do informacji o nazwie zajęcia edukacyjnego, faktu jego obowiązkowości oraz oceny z niego uzyskanej. Nie dawała natomiast dostępu do jakichkolwiek innych danych o kandydatach, w szczególności nie dawała dostępu do danych osobowych. Stosowane przez nas mechanizmy bezpieczeństwa nie stwierdziły nieautoryzowanego dostępu. Można przeprowadzić dodatkową analizę logów i historii zmian, ze szczególnym uwzględnieniem omawianego zagadnienia, jednak z oczywistych powodów nie jesteśmy w stanie tego zrobić w ciągu kilkudziesięciu minut.

System jest poddawany procesowi testowania, w tym w zakresie bezpieczeństwa. Trudno jest w chwili obecnej stwierdzić, dlaczego luka ta nie została w tym procesie zidentyfikowana. Kilkanaście minut temu wykonaliśmy aktualizację systemu, zawierającą poprawkę usuwającą wskazaną za Państwa pośrednictwem lukę, zatem opisywane zagrożenie zostało już wyeliminowane.

Autorzy systemu nie zgadzają się z tezą Michała, że dostęp do danych gimnazjalistów był możliwy. Ten potwierdza, że ze względów etycznych nie pokusił się o nieautoryzowany dostęp do danych innych użytkowników w systemie, a jedynie potwierdził, że ma możliwość uruchamiania kodu SQL. Michał, zapoznawszy się z odpowiedzią autorów systemu, zauważa jeszcze, że jeśli z jakiegoś powodu dostęp do danych innych gimnazjalistów nie był możliwy, to przy pomocy odkrytego przez niego błędu najprawdopodobniej można było unieruchomić system rekrutacji wykonując zapętlone zapytania. Michał zwraca także uwagę, że w przypadkach błędów SQL injection atakujący może uruchomić na serwerze kod na prawach użytkownika bazy, o ile ma dostęp do INTO FILE.

Obowiązkowy pasek z xkcd

Radosław Wiktorski słusznie zauważa, że system naboru elektronicznego jest systemem wspomagającym elektronicznie rekrutację, ale jej podstawą nadal pozostają dokumenty papierowe, w tym świadectwo. Ciekawe jak wyglądałaby rekrutacja, gdyby było inaczej…?

P.S. Rekrutację do szkół ponadgimnazjalnych w Polsce obsługuje nie tylko oprogramowanie KSEON Nabór Optivum, np. w województwie Wielkopolskim rekrutacja jest obsługiwana przez inny system, autorstwa PCSS.