Login bypass vulnerability in Social Insurance, eCourt, and eHealth systems
A serious vulnerability has been discovered in several public administration systems, including Social Insurance and eHealth, allowing unauthorized access to user accounts. The attack can be executed in under a minute and bypasses two-factor authentication. This issue highlights significant flaws in the security testing of critical software integrations.
- ▪The vulnerability affects multiple public administration systems, including ZUS and CEZ.
- ▪Attackers need internet access, knowledge of the victim's PESEL number, and specific tools to exploit the vulnerability.
- ▪The research indicates a lack of adequate security testing for critical software integrations in these systems.
Opening excerpt (first ~120 words) tap to expand
Podatność umożliwiająca zalogowanie się na konto dowolnego użytkownika występowała w kilkunastu systemach administracji publicznej, w tym ZUS i CEZ. Wymagania? Dostęp do internetu, znajomość PESEL-u ofiary i posiadanie odpowiednich narzędzi. Przeprowadzenie ataku zajmowało mniej niż minutę, a sam atak omijał również dwuskładnikowe uwierzytelnianie. Nie, to nie jest clickbait. To ostatnia i najbardziej druzgocąca część mojego badania w obszarze e-podpisów, w którym najwidoczniej nie testuje się krytycznych integracji oprogramowania.
…
Excerpt limited to ~120 words for fair-use compliance. The full article is at Zaufana Trzecia Strona.
Discussion
0 commentsMore from Zaufana Trzecia Strona
