Fuite de données sur les forums Ubuntu

Le par  |  10 commentaire(s)
Ubuntu-logo

Près de 2 millions de comptes pour l'accès aux forums Ubuntu de Canonical ont été compromis. Un patch avait été oublié...

Patronne de Canonical, Jane Silber informe en toute transparence au sujet d'une fuite de données pour les forums Ubuntu. L'incident a été porté à la connaissance de Canonical dans la soirée du 14 juillet. Un attaquant a pu exploiter une vulnérabilité d'injection SQL avec la base de données des forums Ubuntu officiels.

Cette vulnérabilité affectait l'add-on Forumrunner (utilisé par vBulletin) dans les forums. Elle était connue mais n'avait pas bénéficié du déploiement d'un correctif qui était pourtant disponible. L'incident se solde par la compromission de deux millions de comptes.

En l'occurrence, la fuite de données porte sur des noms d'utilisateur, adresses IP et email. Par contre, l'attaquant n'a pas eu accès à des mots de passe dits actifs, si ce n'est sous la forme de chaînes de caractères aléatoires grâce à la technologie Ubuntu Single Sign On. Ces chaînes aléatoires sont hachées et salées.

Forums-Ubuntu

Canonical souligne donc que l'attaquant n'a pas été en mesure d'accéder à des mots de passe valides d'utilisateurs (si tant est que l'algorithme de hachage était suffisamment robuste mais le salage devrait aider en cela), et ajoute par ailleurs qu'il n'a pas pu avoir accès à quelconque code d'un dépôt Ubuntu.

La décision a été prise de déployer le logiciel de forum de discussions vBulletin avec cette fois-ci le dernier niveau de patch, et de réinitialiser les mots de passe des bases de données. En outre, un pare-feu applicatif a été installé (ModSecurity ; pour serveur Apache).

On se souviendra que ce n'est pas la première fois que les forums Ubuntu ont été piratés. Cela avait été le cas en juillet 2013. L'oubli du patch correctif est donc un peu difficile à avaler.

Complément d'information

Vos commentaires

Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Le #1911326
Huhu, pas cool ça...
Le #1911331
Ubuntu c'est pas ultra safe ?
Le #1911333
Rymix a écrit :

Ubuntu c'est pas ultra safe ?



Le #1911336
Rymix a écrit :

Ubuntu c'est pas ultra safe ?


Bah si tu fais pas les màj, non :')
Le #1911337
Le forum tournait sous Windows XP

---->[]
Le #1911343
Comme quoi, même avec un bon OS le problème au final reste toujours l'interface chaise-clavier.
Le #1911345
un paramètre mal échappé dans une requete sql et ta base de données est en libre service...
Ca arrive a tout le monde, même aux meilleurs !
Le #1911368
Y'a un sysadmin qui va se faire taper sur les doigts
Le #1911515
Marc, votre admin : vous le voulez saignant ou à point ?
Suivre les commentaires
Poster un commentaire
Anonyme
:) ;) :D ^^ 8) :| :lol: :p :-/ :o :w00t: :roll: :( :cry: :facepalm:
:andy: :annoyed: :bandit: :alien: :ninja: :agent: :doh: :@ :sick: :kiss: :love: :sleep: :whistle: =]