Lab 2 Marta Sobol

[msobol12]

Zadanie 1

Podczas dodawania nowego klienta w logach aplikacji wyświetlane są jego wrażliwe dane np. pesel, adres zamieszkania.

Poprawka

Dodałam maskowanie danych wrażliwych, ich wartości zamieniłam na znak *.

Zadanie 2

Gitleaks wykrył 3 wycieki w repozytorium



Wszystkie wskazane wycieki są prawdziwe, nie ma tutaj false positive.

Zadanie 3

Znaleziono podatności w bibliotekach jinja2 x5, werkzeug x5, healpy

Wybrana podatność werkzeug

+==============================================================================+
| werkzeug                   | 2.3.7     | <3.0.3                   | 71594    |
+==============================================================================+
| Werkzeug is a comprehensive WSGI web application library. The debugger in    |
| affected versions of Werkzeug can allow an attacker to execute code on a     |
| developer's machine under some circumstances. This requires the attacker to  |
| get the developer to interact with a domain and subdomain they control, and  |
| enter the debugger PIN, but if they are successful it allows access to the   |
| debugger even if it is only running on localhost. This also requires the     |
| attacker to guess a URL in the developer's application that will trigger the |
| debugger.                                                                    

Wykryto błąd związany z debuggerem werkzeug, który w określonych warunkach może umożliwić zdalne wykonanie kodu (RCE) na komputerze developera.
Wykorzystanie podatności możliwe jest gdy:

1. Aplikacja musi być uruchomiona w trybie debug.
2. Developer musi odwiedzić złośliwą stronę kontrolowaną przez atakującego.
3. Atakujący musi znać lub zgadnąć endpoint, który wywoła wyjątek i aktywuje debugger.
4. Developer musi wprowadzić PIN debuggera przechwycony przez atakującego.

Aplikacja uruchamiana jest w trybie debug

if __name__ == '__main__':
    app.run(debug=True)

Jest to podatność związana z środowiskiem developerskim, w produkcji tryb debug powinien zostać wyłączony. Jeżeli wyłączymy tryb debug ta podatność znika, ale nadal paczka wekzeug powinna zostać zaktualizowana do nowszej wersji gdzie usunięto tą podatność.