Hijack Broken Links at dishub.baliprov.go.id
Description
Kali target saya adalah https://dishub.baliprov.go.id/ ketika saya mengklik ikon instagram pada situs tersebut saya diarahkan ke halaman yang rusak seperti https://www.instagram.com/dishubbali/?igshid=OGQ5ZDc2ODk2ZA%3D%3D. Lalu saya melihat setelah domain www.instagram.com/ ini dishubbali merupakan username instagram yang rusak. Dan ketika saya ubah username instagram saya ke username tersebut username tersebut ternyata tersedia yang berarti pengguna yang mengklik ikon instagram dishub bali mereka akan diarahkan ke akun instagram attacker.
Impact
Bug ini memungkinkan penyerang bisa memanfaatkan username sosial media situs original yang rusak dan mengarahkan pengguna yang mengklik ke akun sosial media penyerang, dan disini penyerang bisa membuat konten palsu/hoax tentang situs tersebut.
Reproduction Steps
- Pergi ke https://dishub.baliprov.go.id/
- Klik ikon instagram > lalu akan diarahkan ke halaman eror > link akan terlihat seperti ini https://www.instagram.com/dishubbali/?igshid=OGQ5ZDc2ODk2ZA%3D%3D
- Buka akun instagrammu > ubah username-mu ke dishubbali pastikan username tersebut tersedia.
Timeline
2 November 2023 : Kirim laporan
3 November 2023 : Pengecekan
Selamat Siang Rohmad Hidayah,
Terimakasih atas partisipasinya dalam usaha menemukan kerentanan pada
aplikasi kami, sebagai upaya dalam penguatan keamanan siber di
lingkungan Pemerintah Provinsi Bali.Salam,
Baliprov-CSIRT
27 November 2023 : Bug diperbaiki
Selamat Siang Rohmad Hidayah,
Kerentanan yang dilaporkan sudah ditindaklanjuti oleh pemilik aset.
Terima Kasih.Salam,
Baliprov-CSIRT
27 November 2023 : Tanya tentang sertifikat apresiasi
Apakah ada sertifikat apresiasi pak untuk saya?
29 November 2023 : Sertifikat masih diproses
Selamat Siang Rohmad Hidayah,
Untuk sertifikat sedang kami proses.. akan kami kirimkan jika sudah di TTE pimpinan kami.
Salam,
Baliprov-CSIRT
6 Desember 2023 : Sertifikat apresiasi diberikan
Selamat Siang,
Berikut kami lampirkan e-certificate atas partisipasi dalam penguatan keamanan siber di Pemerintah Provinsi Bali.
Terima kasih.
Salam,
BALIPROV-CSIRT
