Fuite de données sur les forums Ubuntu

Le par Jérôme G.  |  10 commentaire(s)
Ubuntu-logo

Près de 2 millions de comptes pour l'accès aux forums Ubuntu de Canonical ont été compromis. Un patch avait été oublié...

Patronne de Canonical, Jane Silber informe en toute transparence au sujet d'une fuite de données pour les forums Ubuntu. L'incident a été porté à la connaissance de Canonical dans la soirée du 14 juillet. Un attaquant a pu exploiter une vulnérabilité d'injection SQL avec la base de données des forums Ubuntu officiels.

Cette vulnérabilité affectait l'add-on Forumrunner (utilisé par vBulletin) dans les forums. Elle était connue mais n'avait pas bénéficié du déploiement d'un correctif qui était pourtant disponible. L'incident se solde par la compromission de deux millions de comptes.

En l'occurrence, la fuite de données porte sur des noms d'utilisateur, adresses IP et email. Par contre, l'attaquant n'a pas eu accès à des mots de passe dits actifs, si ce n'est sous la forme de chaînes de caractères aléatoires grâce à la technologie Ubuntu Single Sign On. Ces chaînes aléatoires sont hachées et salées.

Forums-Ubuntu

Canonical souligne donc que l'attaquant n'a pas été en mesure d'accéder à des mots de passe valides d'utilisateurs (si tant est que l'algorithme de hachage était suffisamment robuste mais le salage devrait aider en cela), et ajoute par ailleurs qu'il n'a pas pu avoir accès à quelconque code d'un dépôt Ubuntu.

La décision a été prise de déployer le logiciel de forum de discussions vBulletin avec cette fois-ci le dernier niveau de patch, et de réinitialiser les mots de passe des bases de données. En outre, un pare-feu applicatif a été installé (ModSecurity ; pour serveur Apache).

On se souviendra que ce n'est pas la première fois que les forums Ubuntu ont été piratés. Cela avait été le cas en juillet 2013. L'oubli du patch correctif est donc un peu difficile à avaler.

  • Partager ce contenu :
Complément d'information

Vos commentaires

Trier par : date / pertinence
Safirion online Connecté VIP icone 40374 points
Le #1911326
Huhu, pas cool ça...
Rymix offline Hors ligne VIP icone 14536 points
Le #1911331
Ubuntu c'est pas ultra safe ?
FRANCKYIV away Absent VIP icone 52628 points
Premium
Le #1911333
Rymix a écrit :

Ubuntu c'est pas ultra safe ?



Safirion online Connecté VIP icone 40374 points
Le #1911336
Rymix a écrit :

Ubuntu c'est pas ultra safe ?


Bah si tu fais pas les màj, non :')
skynet away Absent VIP icone 81073 points
Le #1911337
Le forum tournait sous Windows XP

---->[]
olahaye74 offline Hors ligne Vétéran avatar 1067 points
Outpox offline Hors ligne Vétéran icone 2201 points
Le #1911343
Comme quoi, même avec un bon OS le problème au final reste toujours l'interface chaise-clavier.
hotshuff offline Hors ligne Vétéran icone 2318 points
Le #1911345
un paramètre mal échappé dans une requete sql et ta base de données est en libre service...
Ca arrive a tout le monde, même aux meilleurs !
lidstah offline Hors ligne VIP icone 6534 points
Le #1911368
Y'a un sysadmin qui va se faire taper sur les doigts
Hansi offline Hors ligne Vénéré avatar 2849 points
Le #1911515
Marc, votre admin : vous le voulez saignant ou à point ?
icone Suivre les commentaires
Poster un commentaire