Después de realizar múltiples ataques, en su mayoría de fuerza bruta, logramos ir escalando privilegios, partiendo desde una cuenta de portal en Odoo, obteniendo un usuario interno de Odoo, mediante la recopilación de información en el sistema, basado en malas practicas al momento de implementar Odoo, seguidamente explorar aplicaciones con códigos inseguros, realizando ataques de fuerza bruta a funciones de modelos y parámetros que estas reciben. Por ultimo comprometer el servidor, debido a un código inseguro en una aplicación de backups, hasta llegar al usuario root.
Para evitar esto, es recomendable realizar una implementación correcta y segura de Odoo. Hay muchas cosas a tomar en cuenta. Por mencionar algunas:
- Utilizar claves seguras en los servicios.
- No utilizar claves repetidas para los servicios.
- Fijar políticas de claves robustas para los usuarios.
- De ser posible, emplear autenticación de 2 factores.
- Tras una instalación de Odoo, atacarlo y confirmar la solides.
- Utiliza certificados SSL.
- Realiza un proceso de hardening al servidor.
- Utilizan un filtrado de puerto y no dejes expuestos servicios sin razón alguna.
- Utiliza servidores separados para Odoo y Postgres o tu motor de base de datos.
- Realizar pruebas de funcionalidad y seguridad a los módulos o programación.
- Realiza auditorias de seguridad de manera recurrente.
- Mantén actualizado el sistema con los últimos parches.
Están son 12 medidas mínimas que se deben realizar, para garantizar que el sistema este protegido, desde luego que hay otro gran grupo de medidas de seguridad que se pueden agregar, pero ya veremos en el transcurso de este año.
Saludos.
Lexer Pars.
No hay comentarios:
Publicar un comentario