Известны новые подробности взлома форума Ubuntu | Ofisp.org

Известны новые подробности взлома форума Ubuntu

02 августа 201318:2

Компания Canonical опубликовала отчет с подробностями о недавней хакерской атаке на форумы Ubuntu, в результате которой злоумышленники получили контроль над учетными данными 1.8 млн пользователей.

«14 июля 2013 года злоумышленнику удалось получить доступ к учетной записи одного из модераторов форума. У этого модератора было право размещать на форуме анонсы, которые могут содержать HTML-код», – говорится в отчете.

Мошенник разместил на форуме анонс с вредоносной JavaScript-вставкой, после чего разослал личные сообщения трем администраторам форума, сообщив о якобы серверной ошибке на странице анонсов. Один из администраторов решил проверить страницу анонсов, не обнаружил ничего подозрительного и ответил фальшивому модератору личным сообщением. Впоследствии злоумышленник залогинился под именем администратора, получив полный доступ к окружению vBulletin.

Как удалось установить Canonical, при помощи размещенного мошенниками анонса они осуществили XSS-атаку и могли перехватывать «куки» всех посетителей.

Далее, используя возможность добавления обработчиков в панель управления, атакующие смогли организовать выполнение произвольного PHP-кода, что позволило запускать любые команды на сервере с правами пользователя «www-data». Атака была совершена 14 июля и обнаружена 20 июля, после того как злоумышленники выполнили дефейс сайта.

Для предотвращения совершения атак в будущем, компания Canonical провела аудит организации работы форума и изменила настройки в пользу максимальной безопасности и изоляции (например, запрещена установка обработчиков в панель управления и запрещена вставка HTML в анонсы, для модераторов и администраторов введено обязательное использование HTTPS, движок форума ограничен средствами AppArmor). Для блокирования возможных закладок форум и система были переустановлены, а база сообщений перестроена. Для аутентификации в форуме задействован централизованный сервис Ubuntu Single Sign On. Так как для хэширования использовался устаревший алгоритм MD5 (с солью), все ранее действующие пароли пользователей были сброшены, а вместо них сгенерированы новые случайные пароли, инструкция по использованию которых была разослана пользователям по электронной почте.

Источник: SecurityLab.ru.

Похожие материалы

07.05.2013
По мнению Марка Жиме из Bloomberg, генерация виртуальной валюты Bitcoin наносит непоправимый ущерб окружающей среде. Согласно подсчетам сервиса Blockchain.info, который ведет статистику «добычи» Bitcoin, ежедневно компьютеры, занятые в «производстве» денежных единиц, потребляют около 982 МВт·ч энергии – этого достаточно для питания 31 тыс. американских домов. Эксперт считает, что если данная виртуальная валюта продолжит набирать популярность, то можно будет говорить о настоящей экологической катастрофе.
13.09.2015
В данной статье сравним услуги различных операторов мобильного интернета в Украине. Сегодня многие имеют смартфоны и, действительно, по полной испытать их удастся только при наличии подключения к интернету.
09.04.2014
В OpenSSL выявлена одна из самых серьёзных уязвимостей (CVE-2014-0160) в истории проекта, затрагивающая огромное число сайтов, серверных систем и клиентских приложений, использующих OpenSSL 1.0.1 для организации обмена данными через защищённое соединение. Суть проблемы проявляется в возможности доступа к 64Кб памяти клиентского или серверного процесса с которым установлено шифрованное соединение.
20.12.2013
Когда речь заходит о детях в Интернете, то всеобщая доступность Сети превращается в источник не только полезной информации и развлечений, но и угроз — об этом свидетельствуют результаты исследования, проведенного «Лабораторией Касперского» совместно с аналитическим агентством B2B International. Более трети (36%) российских родителей признают, что их дети подвергались риску в Сети. Из них 20% сталкивались с нежелательным контентом, а 5% вступали в переписку с незнакомцами.
14.04.2013
Компания Hapilabs, разработчик вилки Hapifork – столового прибора с модулем Bluetooth и вибромотором, – начала сбор средств на воплощение своего проекта в жизнь, пишет VentureBeat. Вилку профинансируют через сайт Kickstarter. Hapilabs рассчитывает собрать до 1 июня сто тысяч долларов пожертвований. По состоянию на момент публикации заметки пользователи перечислили разработчикам 24,2 тысячи долларов. Если Hapilabs удастся собрать требуемую сумму, поставки вилки начнутся в сентябре.

Оборудование:

Общие характеристики Тип: Wi-Fi точка доступа Стандарт беспроводной связи: 802.11n, частота 2.4 ГГц...
→ Оставить отзыв
Для начала давайте определим что такое IPTV и мини-роутер. Мини-роутер (маршрутизатор) – сетевое...
→ Оставить отзыв
Подключение При подключении нового роутера к сети интернет необходимо подключить кабель провайдера...
→ Оставить отзыв
Сначала – посмотрим, что такое Wi-Fi 3G роутер вообще, и чем такие решения лучше «модемов». В...
→ Оставить отзыв