SIDN whois HTML-injectie lek

De SIDN whois was lek, in de whois gegevens van een domeinnaam was het mogelijk om HTML en javascript code op te nemen die werd uitgevoerd zodra de whois gegevens van een domeinnaam via de SIDN website werden opgevraagd.

Veiligheid en privacy in gevaar
Dankzij dit lek was het bijvoorbeeld mogelijk om via de SIDN whois spyware te installeren op computers. Naast de veiligheid was ook de privacy van gebruikers van de whois in gevaar.

Door bijvoorbeeld een plaatje of iframe op te nemen in de whois gegevens, was het voor domeinnaamhouders en SIDN deelnemers mogelijk om op basis van het IP-adres precies te volgen wie de gegevens van een bepaalde domeinnaam op vraagt en dus interesse in een bepaalde domeinnaam heeft.

Daadwerkelijk misbruik
Dat er daadwerkelijk misbruik van het lek is gemaakt blijkt uit de whois gevens van zoiah.nl die met behulp van javascript-injectie doorstuurde naar een andere website. Een ander voorbeeld is webhoster Easyhosting, die met behulp van html, een logo met link naar haar website in de whois gegevens van de domeinnaam easyhosting.nl had opgenomen.

Reactie van SIDN
SIDN verklaarde tegenover ISPam.nl over het HTML-injectie lek:

Vrijdagmiddag 10 augustus jl. is ons gemeld dat het voor tussenpersonen mogelijk is in DRS-velden HTML-script in te voeren. Hierdoor kunnen tussenpersonen de presentatie van hun gegevens in zowel de top-100 lijst als de Whois output veranderen.
Het is belangrijk voor zowel onze tussenpersonen als eindklanten dat de Whois-informatie actueel en eenduidig is. Daarom heeft SIDN maatregelen genomen om te voorkomen dat HTML-codes nog automatisch door browsers wordt geïnterpreteerd. De Whois toont nu alleen de platte HTML-code.
De komende dagen zal SIDN aanvullende maatregelen nemen.

Update 19:50 uur:
In een vervolg verklaring, die ook naar alle SIDN deelnemers is gestuurd verklaarde SIDN tegenover ISPam.nl:

Uit onderzoek blijkt dat deze situatie geen invloed heeft op de integriteit van .nl-registratiegegevens. Op dit moment onderzoeken wij of de validatieregels voor de input van gegevens in DRS door tussenpersonen verder moeten worden aangescherpt.

Het is van belang dat het deelnemerregistratiesysteem alleen gebruikt wordt waarvoor het bedoeld is: het registreren en muteren van .nl-domeinnamen en daarbij behorende administratieve gegevens. Het is dus alleen toegestaan de gevraagde gegevens in de gebruikelijke format in te voeren. SIDN zal haar systemen hierop de komende tijd actief monitoren.

Tussenpersonen die in DRS de afgelopen dagen andere data hebben ingevoerd dan administratieve gegevens in “platte tekst”, zullen hierop worden aangesproken. Tegen tussenpersonen die vanaf vandaag nog scripts of oneigenlijke data invoeren zal SIDN direct maatregelen nemen.