Известны новые подробности взлома форума Ubuntu | Ofisp.org

Известны новые подробности взлома форума Ubuntu

02 августа 201317:2

Компания Canonical опубликовала отчет с подробностями о недавней хакерской атаке на форумы Ubuntu, в результате которой злоумышленники получили контроль над учетными данными 1.8 млн пользователей.

«14 июля 2013 года злоумышленнику удалось получить доступ к учетной записи одного из модераторов форума. У этого модератора было право размещать на форуме анонсы, которые могут содержать HTML-код», – говорится в отчете.

Мошенник разместил на форуме анонс с вредоносной JavaScript-вставкой, после чего разослал личные сообщения трем администраторам форума, сообщив о якобы серверной ошибке на странице анонсов. Один из администраторов решил проверить страницу анонсов, не обнаружил ничего подозрительного и ответил фальшивому модератору личным сообщением. Впоследствии злоумышленник залогинился под именем администратора, получив полный доступ к окружению vBulletin.

Как удалось установить Canonical, при помощи размещенного мошенниками анонса они осуществили XSS-атаку и могли перехватывать «куки» всех посетителей.

Далее, используя возможность добавления обработчиков в панель управления, атакующие смогли организовать выполнение произвольного PHP-кода, что позволило запускать любые команды на сервере с правами пользователя «www-data». Атака была совершена 14 июля и обнаружена 20 июля, после того как злоумышленники выполнили дефейс сайта.

Для предотвращения совершения атак в будущем, компания Canonical провела аудит организации работы форума и изменила настройки в пользу максимальной безопасности и изоляции (например, запрещена установка обработчиков в панель управления и запрещена вставка HTML в анонсы, для модераторов и администраторов введено обязательное использование HTTPS, движок форума ограничен средствами AppArmor). Для блокирования возможных закладок форум и система были переустановлены, а база сообщений перестроена. Для аутентификации в форуме задействован централизованный сервис Ubuntu Single Sign On. Так как для хэширования использовался устаревший алгоритм MD5 (с солью), все ранее действующие пароли пользователей были сброшены, а вместо них сгенерированы новые случайные пароли, инструкция по использованию которых была разослана пользователям по электронной почте.

Источник: SecurityLab.ru.

Похожие материалы

03.01.2013
Американская школьница Джианна Чиен выяснила, что встроенные в планшет iPad 2 магниты для обложки Smart Cover могут негативно сказаться на работе имплантированных дефибрилляторов. Оказалось, что при определенных условиях магниты не позволяют медицинскому прибору выполнять свои функции и запускать сердце в случае его остановки. Результаты исследования 14-летней американки будут представлены на конференции «Общества сердечного ритма» (Heart Rhythm Society), в которой принимают участие более 8 тыс. врачей. По словам Чиен, если человек, в теле которого находится имплантируемый кардиовертер-дефибриллятор (ИКД), заснет с iPad 2 на груди, магниты в планшете могут заблокировать электрический импульс.
19.05.2014
Компания Intel объявила о старте второго этапа конкурса MakeItWearable и начале приема проектов с концепциями носимых устройств, которые будут оцениваться с точки зрения технической инновационности и коммерческой перспективности.
16.11.2013
Иметь свой сайт – это в первую очередь очень престижное приобретение,  это своего рода имидж собственного имени и своей деятельности. На сегодняшний день сайт имеют в основном только фирмы, компании и предприятия обходяться пока, что только некой веб-страницей в социальной сети. Потому многим будет интересно узнать как делать ссылки в контакте. Узнать об этом можно посетив специализированные форумы, к примеру такой сайт как http://blog.blogun.ru дает полный и исчерпывающий ответ на даный вопрос.
20.12.2013
Когда-нибудь вы твитили то, что содержало орфографические или стилистические ошибки, а потом жалели о том, что возможности отредактировать посланное сообщение нет?Единственным выходом до сих пор является полное удаление твита.
15.04.2014
Компания AOC представила два новых 23,8-дюймовых (60,4 см) мультимедийных монитора на основе IPS-матриц, оснащенные динамиками знаменитой марки ONKYO. Обе модели, i2473Pwm и i2473Pwy, выполнены в стильном дизайне Razor Concept. Два динамика марки ONKYO мощностью 7 Вт, встроенные в подставку этих Full HD-мониторов, обеспечивают прекрасное качество звука в играх и кинофильмах. Обе модели также поддерживают интерфейсы MHL и Miracast.  

Оборудование:

Общие характеристики Тип: Wi-Fi точка доступа Стандарт беспроводной связи: 802.11n, частота 2.4 ГГц...
→ Оставить отзыв
Для начала давайте определим что такое IPTV и мини-роутер. Мини-роутер (маршрутизатор) – сетевое...
→ Оставить отзыв
Подключение При подключении нового роутера к сети интернет необходимо подключить кабель провайдера...
→ Оставить отзыв
Сначала – посмотрим, что такое Wi-Fi 3G роутер вообще, и чем такие решения лучше «модемов». В...
→ Оставить отзыв