Ons Coordinated Vulnerability Disclosure-beleidHere's the English translation of this policy

Onze afhankelijkheid van onze digitale infrastructuur wordt alleen maar groter. Dat geldt voor de maatschappij als geheel, maar ook voor onszelf. We vinden daarom dat overheden en organisaties (en wijzelf dus ook) sterk moeten inzetten op de beveiliging van onze digitale infrastructuur. We realiseren ons ook dat het, ondanks de beste bedoelingen en zorg, kan gebeuren dat er in de beveiliging van systemen een kwetsbaarheid voorkomt. Als jij een zwakke plek in één van onze systemen vindt, dan horen we dat heel graagWat onze belangrijkste afwegingen voor dit beleid waren?. Wij kunnen dan de kwetsbaarheid oplossen.

 

Wat wij van jou verwachten:

  • Als je een kwetsbaarheid in een van onze systemen onderzoekt, hou je rekening met proportionaliteit van de aanval. Je hoeft niet aan te tonen dat als je de grootste DDoS-aanval uit de historie van het internet op onze website uitvoert, we even niet meer bereikbaar zijn. Dat weten we. Ook begrijpen we dat als je met een shovel ons kantoor inrijdt, je waarschijnlijk wel een laptop buit kunt maken.
  • Die proportionaliteit speelt ook een rol bij het aantonen van de kwetsbaarheid zelf. Je bekijkt of verandert niet meer gegevens dan strikt noodzakelijk om de kwetsbaarheid aan te tonen. Als je bijvoorbeeld onze voorpagina kunt aanpassen, voeg je ergens een non-controversieel woord toe, in plaats van de volledige pagina over te nemen. Als je toegang weet te krijgen tot een database, volstaat een lijstje van de tabellen of de eerste regel uit één van die tabellen.
  • Een kwetsbaarheid in een van onze systemen meld je zo spoedig mogelijk door een e-mail te sturen aan security@bof.nl. Bij voorkeur verstuur je de melding versleuteld met OpenPGP. Je voorziet de melding van voldoende informatie waarmee wij het probleem kunnen reproduceren en onderzoeken.
  • Je deelt de kennis over de kwetsbaarheid niet met anderen zolang wij de kwetsbaarheid nog niet hebben opgelost en de redelijke oplossingstermijn niet al ruimschoots is verstreken.
  • Je verwijdert alle vertrouwelijke gegevens die je hebt verkregen in je onderzoek direct nadat wij de kwetsbaarheid hebben opgelost.

Wat je van ons mag verwachten:

  • We reageren binnen drie dagen inhoudelijk op je melding, inclusief de verwachte oplossingstermijn. Uiteraard houden we je ook daarna regelmatig op de hoogte van de voortgang van het oplossen van het probleem.
  • We lossen de kwetsbaarheid zo snel mogelijk op. Ook hier speelt proportionaliteit een belangrijke rol: de termijn voor het oplossen van een kwetsbaarheid is afhankelijk van verschillende factoren, waaronder de ernst en de complexiteit van de kwetsbaarheid.
  • Als je je aan bovenstaande verwachtingen houdt, zullen wij geen juridische stappen tegen je ondernemen ten aanzien van je melding.
  • We vinden het belangrijk om je de credits te geven die je toekomen – en die je wenst. We zullen je naam bij een publicatie over de kwetsbaarheid alleen vermelden als je daarmee instemt.
  • Als dank voor je hulp in het beter beschermen van onze systemen, belonen we je graag voor de melding van een tot dan toe ons nog onbekende kwetsbaarheid. De beloning is afhankelijk van de ernst van de kwetsbaarheid en de kwaliteit van de melding.
  • Mocht je een kwetsbaarheid vinden in software die wij gebruiken maar die door een andere partij gemaakt wordt en die kwetsbaarheid valt onder een bug bounty program, dan is een eventuele bounty uiteraard voor jou.

Versie 1.0 van 23 juni 2017.

Hieronder vind je een overzicht van kwetsbaarheden die eerder zijn gemeld en opgelost:

  • Op 1 november wees Steven HamptonStevens Twitter profiel ons op een Adobe Flash-bestand dat standaard in WordPress aanwezig is. Omdat we liever HTML5 gebruiken en er regelmatig beveiligingsproblemen zijn met Flash hebben we de toegang tot het bestand geblokkeerd.
  • Op 20 oktober liet Huy KhaHuy's LinkedIn profiel  ons weten dat het mogelijk was om achter een aantal UNIX usernames van onze servers te komen met SMTP VRFY requests. Hierop hebben we e-mailbezorging voor lokale gebruikers uitgeschakeld (een functie die we niet gebruiken), waardoor deze truck niet meer werkt.
  • Op 17 oktober wees Zeeshan KhalidZeeshans Twitter profiel ons op de mogelijkheid om informatie over de PHP-omgeving (phpinfo) van een website die word gerund door vrijwilligers in te zien. Hierop hebben we dit onmogelijk gemaakt en de webmaster ingelicht.
  • Op 14 oktober liet Yusuf YazirYusufs Twitter profiel ons weten dat onze OpenSSH-servers het patchlevel in de banner lieten zien. Deze informatie kan nuttig zijn voor een aanvaller, dus wordt deze informatie nu verborgen gehouden.
  • Op 12 oktober wees Jatan VoraJatans Twitter profiel ons op een bekend probleem in GitLab waardoor in sommige gevallen de gebruiker werd doorgestuurd naar de host in de X-Forwarded-Host header. Deze configuratiefout (die door compatibiliteitsproblemen nog steeds in de standaard GitLab-code zit) kan in combinatie met een XSS kwetsbaarheid een beveiligingsrisico vormen. We hebben hierop alle X-Forwarded-Host headers statisch ingesteld.
  • Op 10 oktober wees Vishal ShuklaVishals Twitter profiel ons op een XSS kwetsbaarheid in de Discourse-installatie van het Privacy Café. De kwetsbaarheid was opgelost na het updaten naar de laatste versie.
  • Op 8 oktober wees Olivier BegOliviers website ons op verkeerd geconfigureerde toegangscontrole en nog een XSS-kwetsbaarheid in onze Framadate-installatie. Beide problemen zijn verholpen.
  • Op 6 oktober wees Muztahidul Islam TanimMuztahiduls Twitter profiel ons op een XSS-kwetsbaarheid in onze Framadate-installatie. Dit probleem was opgelost na het updaten naar de laatste versie.
  • Op 30 september 2017 meldde Akaash SharmaAkaash' Twitter profiel een aantal kwetsbaarheden met een klein risico, zoals verkeerd geconfigureerde 404-pagina's en een plek waar je de versie van onze webserver kon zien.
  • Op 22 september 2017 wees Himanshu RahiHimanshu's Facebook profiel ons op de mogelijkheid om het pad naar de document root van BitLabs op te vragen. Deze informatie kan in combinatie met een andere kwetsbaarheid gebruikt worden om gevoelige bestanden uit te lezen. BitLabs was een omgeving voor vrijwilligers welke niet meer in gebruik was. We hebben de website offline gehaald.
  • Op 6 september 2017 meldde Huy KhaHuy's LinkedIn profile nog een kwetsbaarheid in onze website: het bleek mogelijk om via onze website namens ons een e-mail te verzenden. Daarbij maakte hij gebruik van een bug in een Wordpress-module - de module is nu uitgeschakeld. We hebben ook een bugreport aangemaakt bij de ontwikkelaars van die module.
  • Op 5 september 2017 meldde Devansh BathamDevansh' Facebook profiel een kwetsbaarheid waarbij pagina's van onze websites in de website van een kwaadwillende zouden worden ingeladen, om op die manier de bezoeker te misleiden. Het risico schatten we bijzonder laag in. We hebben enkele HTTP-headers toegevoegd om misbruik te voorkomen.
  • Op 16 augustus 2017 heeft Huy KhaHuy's LinkedIn profile bij ons DOM XSS kwetsbaarheid gemeld op onze website. Het bleek dat een stukje custom javascript informatie uit een URL niet goed opschoonde.
  • Op 15 augustus 2017 heeft Prial IslamPrial Islam's Facebook pagina (ErrOr SquaD BD) ons gewezen op de inherente onveiligheid van de XMLRPC-api van Wordpress. Hij liet zien hoe makkelijk die te brute-forcen was. We hebben hem daarom uit gezet. Daarnaast meldde hij ook nog een paar kleine kwetsbaarheden met een laag risico zoals het programmatisch kunnen verhogen van het aantal likes van een video.
  • Op 15 augustus 2017 meldde Shuaib Abidemi OladigboluShuaib Oladigbolu's Twitter profiel een aantal kwetsbaarheden met een klein risico, zoals verkeerd geconfigureerde 404-pagina's en een plek waar je de versie van onze webserver kon zien.
  • Op 12 augustus 2017 meldde Sajibe KantiSajibe's Twitter profiel een configuratiefout van één van onze 404-pagina's waardoor via de URL tekst getoond kon worden op die pagina. Dit zou eventueel misbruikt kunnen worden voor een phishing aanval.
  • Eind juli 2017 meldde Huy KhaHuy's LinkedIn profiel ons een aantal kwetsbaarheden met een klein tot zeer klein risico, zoals het lekken van de versie van de software of het ontbreken van de X-Frame-Options header.
  • Op 23 juli 2017 wees r00tAcc3ssR00tAcc3ss' Twitter profiel ons er op dat een API inzage gaf in gebruikersnamen van onze WordPress-gebruikers. Dit hebben we opgelost door API-toegang alleen mogelijk te maken na authenticatie.
  • Op 17 juli 2017 meldde Daan GoumansDaan's LinkedIn profiel ons dat op een van onze websites de credentials voor toegang tot de achterliggende database gemakkelijk te achterhalen waren. Het betrof een website die beheerd wordt door vrijwilligers. De oorzaak was een fout in de configuratie van een van de gebruikte frameworks.
  • Op 9 juni 2017 meldde Remy van ElstRemy's eigen website ons dat het mogelijk was om een SSL/TLS-certificaat aan te vragen voor onze domeinnaam freedom.nl. Hij had daarvoor een standaard e-mailadresRemy schreef eerder al eens over een vergelijkbaar probleem bij zijn eigen provider geregistreerd binnen dat domein. De oorzaak was een typfout bij het opstellen van de lijst met preventief geblokkeerde accounts.

Help mee en steun ons

Door mijn bijdrage ondersteun ik Bits of Freedom, dat kan maandelijks of eenmalig.