Известны новые подробности взлома форума Ubuntu | Ofisp.org

Известны новые подробности взлома форума Ubuntu

02 августа 201317:2

Компания Canonical опубликовала отчет с подробностями о недавней хакерской атаке на форумы Ubuntu, в результате которой злоумышленники получили контроль над учетными данными 1.8 млн пользователей.

«14 июля 2013 года злоумышленнику удалось получить доступ к учетной записи одного из модераторов форума. У этого модератора было право размещать на форуме анонсы, которые могут содержать HTML-код», – говорится в отчете.

Мошенник разместил на форуме анонс с вредоносной JavaScript-вставкой, после чего разослал личные сообщения трем администраторам форума, сообщив о якобы серверной ошибке на странице анонсов. Один из администраторов решил проверить страницу анонсов, не обнаружил ничего подозрительного и ответил фальшивому модератору личным сообщением. Впоследствии злоумышленник залогинился под именем администратора, получив полный доступ к окружению vBulletin.

Как удалось установить Canonical, при помощи размещенного мошенниками анонса они осуществили XSS-атаку и могли перехватывать «куки» всех посетителей.

Далее, используя возможность добавления обработчиков в панель управления, атакующие смогли организовать выполнение произвольного PHP-кода, что позволило запускать любые команды на сервере с правами пользователя «www-data». Атака была совершена 14 июля и обнаружена 20 июля, после того как злоумышленники выполнили дефейс сайта.

Для предотвращения совершения атак в будущем, компания Canonical провела аудит организации работы форума и изменила настройки в пользу максимальной безопасности и изоляции (например, запрещена установка обработчиков в панель управления и запрещена вставка HTML в анонсы, для модераторов и администраторов введено обязательное использование HTTPS, движок форума ограничен средствами AppArmor). Для блокирования возможных закладок форум и система были переустановлены, а база сообщений перестроена. Для аутентификации в форуме задействован централизованный сервис Ubuntu Single Sign On. Так как для хэширования использовался устаревший алгоритм MD5 (с солью), все ранее действующие пароли пользователей были сброшены, а вместо них сгенерированы новые случайные пароли, инструкция по использованию которых была разослана пользователям по электронной почте.

Источник: SecurityLab.ru.

Похожие материалы

10.12.2012
Смартфоны на базе операционной системы Windows Phone впервые обогнали аппараты на Blackberry в мировых продажах. Об этом сообщила в своем отчете аналитическая компания IDC, передает Business Wire. По итогам первого квартала 2013 года было продано 7 миллионов устройств на базе Windows Phone, что составило 3,2% рынка смартфонов. В то же время телефонов Blackberry было продано 6,3 миллиона. На них пришлось 2,9% рынка.
12.04.2014
Для компании HP работа с данными является относительно новым направлением – решения в этой области появились в ее портфеле несколько лет назад, после приобретения компаний Autonomy и Vertica. Тем не менее компания уже приобрела репутацию сильного игрока на рынке аналитики Больших Данных и сейчас ищет себя в новой перспективной области объединения инструментов Больших Данных с функциями управления ИТ – сферы, где HP традиционно сильна.
11.05.2014
Частные дома чаще всего размещены на отдельных участках или вне городской черты, поэтому для них подходят только определенные виды интернет-подключения. В частности, большим преимуществом обладает спутниковая связь, так как в этом случае не требуется прокладка кабеля. Настройка такого интернета не зависит от конкретного расположения, так как зона покрытия спутникового сигнала в значительной степени превышает зону покрытия традиционных провайдеров интернет-услуг.
08.04.2014
Компания Samsung Electronics представляет планшеты новой линейки Samsung Galaxy Tab 4. Новый уровень свободы Благодаря широким мультимедийным возможностям, портативные и легкие планшеты новой линейки SamsungGalaxyTab 4 станут идеальными повседневными компаньонами для каждого, позволят легко делиться контентом с друзьями и близкими. Богатые мультимедийные возможности
06.05.2014
По маршруту «Новоспасский мост – Киевский вокзал» в конце апреля проплыл первый речной трамвай, оборудованный сетью четвертого поколения. Проект был реализован «ВымпелКомом» совместно со «Столичной судоходной компанией» и стал одним из крупнейших проектов такого рода на столичном транспорте.

Оборудование:

Общие характеристики Тип: Wi-Fi точка доступа Стандарт беспроводной связи: 802.11n, частота 2.4 ГГц...
→ Оставить отзыв
Для начала давайте определим что такое IPTV и мини-роутер. Мини-роутер (маршрутизатор) – сетевое...
→ Оставить отзыв
Подключение При подключении нового роутера к сети интернет необходимо подключить кабель провайдера...
→ Оставить отзыв
Сначала – посмотрим, что такое Wi-Fi 3G роутер вообще, и чем такие решения лучше «модемов». В...
→ Оставить отзыв