RCE As a Feature

Một biên tập viên formerly tại công ty ed-tech phát hiện ra những lỗ hổng nghiêm trọng trong sản phẩm C‑interpreter được trường học K‑12 sử dụng. Daemon cài đặt local chạy một máy chủ WebSocket không cần xác thực, lắng nghe trên 0.0.0.0 và chấp nhận mã C tùy chỉnh để thực thi, cho phép thực thi mã từ xa từ bất kỳ trang web hoặc thiết bị nào trong cùng mạng. Ngoài ra, phía server còn có lỗi inject qua eval() که lộ dữ liệu thẻ tín dụng dạng văn bản và router được cấu hình với thông tin đăng nhập mặc định. Nhà sáng lập đã vá một số vấn đề một cách im lặng mà không thông báo cho trường học, trong khi công ty vẫn tiếp tục hoạt động và nawet được xếp hạng trong ngành. Bài học là phải tắt các dịch vụ nội bộ không cần xác thực, tránh sử dụng eval trên đầu vào người dùng, thay đổi thông tin đăng nhập mặc định và thông báo kịp thời khi vá lỗ hổng bảo mật.