El Listado de Directorios en si no es una vulnerabilidad o fallo crítico, todo depende de que tipo de información nos divulgue.
El servidor del Banco Corpbanca permite listar directorios entregando información sensible sobre los archivos del sistema, por ejemplo permite acceder a archivos como "ComprobanteCargoAbono_Personas.aspx.20081217", un respaldo del año 2008 del archivo ComprobanteCargoAbono_Personas.aspx que, antes que limitaran el acceso, era posible ver el código fuente de ese y de otros archivos.
En el caso de un banco es peligroso porque permite al atacante conocer de mejor forma el sistema accediendo a toda la estructura de directorios y archivos. Tambien nos damos cuenta que hay scripts de "prueba" que nos pueden entregar información sensible
Este problema en la configuración de los servidores de Corpbanca ya ha sido reportado y se está solucionando.
Despues de haber dado la presentación de Secureless en la CSC 8.8, se me acercó el encargado de la seguridad de Corpbanca, entregandome su contacto y agradeciendo cualquier reporte que pudiese enviarle, hasta ahora he tenido la amabilidad de estar reportandole algunas fallas y el por su lado gestiona que se solucionen.
Comentarios (4)