Sicherheitslücke in den Ubuntu-Foren
Die offiziellen Ubuntu-Foren sind gehackt worden. Dabei wurden Daten von zwei Millionen Nutzern abgegriffen.
Wie Canonical mitteilt [1], sind die offiziellen Ubuntu-Foren gehackt worden. Dabei sollen die unbekannten Angreifer IP-Adressen, E-Mails und Benutzernamen von zwei Millionen Nutzern heruntergeladen haben. Passwörter sollen nicht zur Beute gehören, da Canonical beim Foren-Login auf das hauseigene Ubuntu Single Sign On setzt.
Zudem sei man sicher, dass die Angreifer keinen Zugriff auf die Ubuntu-Code-Repositories hatten. Inzwischen seien die Lücken beseitigt und der Zugriff auf die Foren [2] ist wieder möglich.
Zugriff über Foren-Add-On
Laut Canonical wurde das hauseigene Sicherheitsteam am 14. Juli darauf hingewiesen, dass jemand eine Kopie der Foren-Datenbank besitze. Nach einer Überprüfung wurde eine Sicherheitslücke im Zusammenhang mit einer SQL-Injection-Lücke in einem Add-On für die Forensoftware vBulletin gefunden. Das Forum wurde daraufhin abgeschaltet.
Statt Foren-Passwörtern im Klartext, hat Canonical in der Datenbank eigenen Angaben zufolge nur gehashte und gesalzene Strings gespeichert. Zugriff auf die Ubuntu Single Sign On-Passwörter soll nicht möglich gewesen sein. Das Forum wurde bereits 2013 schon einmal gehackt [3]. Damals kamen auch Passwörter abhanden. (mls [4])
URL dieses Artikels:
https://www.heise.de/-3266291
Links in diesem Artikel:
[1] https://insights.ubuntu.com/2016/07/15/notice-of-security-breach-on-ubuntu-forums/
[2] https://ubuntuforums.org/
[3] https://www.heise.de/news/Ubuntu-Forum-gehackt-1920874.html
[4] mailto:mls@ct.de
Copyright © 2016 Heise Medien