Investigaciones

Acceso a certificados FONASA

abril 2, 2012
El Fondo Nacional de Salud (FONASA) permite generar certificados de afiliación para sus beneficiarios, el cual “certifica” que estás en FONASA y el grupo al cual perteneces. Para generar el certificado debes iniciar sesión y pinchar en “Certificado”, luego eres redirigido a una URL tipo https://firma.fonasa.cl/ca/2012/3/24, la fecha que se ve en la URL corresponde […]

El Fondo Nacional de Salud (FONASA) permite generar certificados de afiliación para sus beneficiarios, el cual “certifica” que estás en FONASA y el grupo al cual perteneces.

Para generar el certificado debes iniciar sesión y pinchar en “Certificado”, luego eres redirigido a una URL tipo https://firma.fonasa.cl/ca/2012/3/24, la fecha que se ve en la URL corresponde a la de creación del documento. El nombre del certificado en PDF tiene la forma de “id_incrementalCAid.pdf”, por ejemplo: 103466801CA24312.pdf. El ID_Incremental (que está antes del CA) es posible modificarlo para obtener aleatoriamente todos lo certificados generados.


De esta forma es posible saltarse la autentificación y además acceder a información privada, por lo que se categoriza como “Data Leak” y como “Auth Bypass“.

La vulnerabilidad ha sido reportada y el sitio “firma.fonasa.cl” lleva abajo más de 1 semana.

 

auth bypasschiledata leakfonasagobierno

Comparte este Artículo

Artículos relacionados