Onderwerp: SIDN whois HTML-injectie

Oorspronkelijk geplaatst door SIDN

Vrijdagmiddag 10 augustus jl. is ons gemeld dat het voor tussenpersonen mogelijk is in DRS-velden HTML-script in te voeren. Hierdoor kunnen tussenpersonen de presentatie van hun gegevens in zowel de top-100 lijst als de Whois output veranderen.

Het is belangrijk voor zowel onze tussenpersonen als eindklanten dat de Whois-informatie actueel en eenduidig is. Daarom heeft SIDN maatregelen genomen om te voorkomen dat HTML-codes nog automatisch door browsers wordt geïnterpreteerd. De Whois toont nu alleen de platte HTML-code.
De komende dagen zal SIDN aanvullende maatregelen nemen.

Update: Aan het einde van maandag 13 augustus volgt verdere informatie.

Slordig, goed dat ze het gaan oplossen...

Oorspronkelijk geplaatst door SIDN

Update HTML-code:

Vanmiddag, maandag 13 augustus, hebben wij u via de besloten site geïnformeerd over het feit dat het voor deelnemers mogelijk bleek in DRS-velden HTML-script in te voeren. Het is echter belangrijk voor zowel onze tussenpersonen als eindklanten dat de Whois-informatie actueel en eenduidig is. Daarom heeft SIDN maatregelen genomen en is dit aan de outputzijde (d.w.z. de Whois en de deelnemerlijst) inmiddels opgelost. Output met HTML-codes wordt daar niet meer automatisch geïnterpreteerd, maar toont SIDN nu als "platte HTML".

Uit onderzoek blijkt dat deze situatie geen invloed heeft op de integriteit van .nl-registratiegegevens. Op dit moment onderzoeken wij of de validatieregels voor de input van gegevens in DRS door tussenpersonen verder moeten worden aangescherpt.

Het is van belang dat het deelnemerregistratiesysteem alleen gebruikt wordt waarvoor het bedoeld is: het registreren en muteren van .nl-domeinnamen en daarbij behorende administratieve gegevens. Het is dus alleen toegestaan de gevraagde gegevens in de gebruikelijke format in te voeren. SIDN zal haar systemen hierop de komende tijd actief monitoren.

Tussenpersonen die in DRS de afgelopen dagen andere data hebben ingevoerd dan administratieve gegevens in "platte tekst", zullen hierop worden aangesproken. Tegen tussenpersonen die vanaf vandaag nog scripts of oneigenlijke data invoeren zal SIDN direct maatregelen nemen.

Wij vertrouwen op uw medewerking. Uiteraard houden wij u de komende dagen via de besloten website op de hoogte.

Zoals beloofd, zo te zien hebben ze het snel en goed opgelost!

Basisregel 1 van webdevelopment: vertrouw nooit wat een bezoeker invoert.

Tsja, dat soort beginnersfouten kun je verwachten als je van die goedkope programmeurs inhuurt....

Tussenpersonen die in DRS de afgelopen dagen andere data hebben ingevoerd dan administratieve gegevens in "platte tekst", zullen hierop worden aangesproken. Tegen tussenpersonen die vanaf vandaag nog scripts of oneigenlijke data invoeren zal SIDN direct maatregelen nemen.

Easyhosting krijgt een tikje op de vingers?

In plaats van maatregelen tegen deelnemers af te kondigen zou ik veel liever lezen dat ze derden in gingen huren om een full audit op de code uit te voeren. Als je applicatie deugdelijk in elkaar steekt mag het niets uitmaken wat men invoert.

Dit is prutswerk. Je ga jezelf afvragen wat er nog meer aan de applicatie(s) schort.