LINUX.ORG.RU

Взломаны официальные форумы, wiki и багзилла дистрибутива Sabayon Linux

 ,


0

2

Вчера вечером администраторы официального портала дистрибутива Sabayon Linux сообщили о взломе форумов, вики-раздела и багзиллы. Если у вас есть аккаунты на данных ресурсах, администрация сайта рекомендует поменять ваши пароли как можно скорее.

Атака произошла между 28 и 29 октября, когда злоумышленники завладели данными авторизации аккаунта одного из администраторов. Затем в страницу FAQ форума (PHPBB) был добавлен PHP-код, устанавливающий на сайт два бэкдор-скрипта (cache2.php и cache3.php), после чего хакер получил полный доступ к базе данных пользователей (в частности, к их почтовым адресам и хэшам паролей - md5 с солью).

Атака произошла из подсети 199.254.238.0/24, принадлежащей ресурсу riseup.net, который предоставляет бета-версию своего VPN-сервиса и через exit-ноды сети TOR (конкретно, IP 67.86.121.13 и 46.35.187.43). Как замечает автор сообщения, если вы так хотите анонимности в сети, знайте цену, которую вы за нее платите.

Уязвимость была обнаружена довольно быстро, и сейчас администраторы предприняли меры против повторения взломов. Также на сайт была добавлена внутренняя система оповещения о подозрительных событиях, а база данных восстановлена из безопасного бэкапа.

Служба поддержки сайта приносит свои извинения всем пользователям и советует поменять свои пароли как можно скорее. Если вы не помните свой логин, вы можете написать письмо по адресу website <at> sabayon <dot> org с указанием своего почтового адреса. Если у вас есть какие-то вопросы, свяжитесь с разработчиками на странице в Facebook или в IRC (freenode.net #sabayon).

>>> Подробности

★★★★★

Проверено: maxcom ()

PHPBB

ССЗБ. Наверное, самый дырявый движок после джумлы.

Вот использовали бы SMF, проблем бы не было!

leg0las ★★★★★ ()
Последнее исправление: leg0las (всего исправлений: 1)

phpbb разрабатывали решета...

cetjs2 ★★★★★ ()

когда злоумышленники завладели данными авторизации аккаунта одного из администраторов.

Как завладели? Аккаунта куда завладели?

phpbb то тут причем, если паяльником root из админа вытащили..

ppy ★★ ()
Ответ на: комментарий от KendovNorok

В Sabayon она экспериментально еще в апреле появилась, сейчас не знаю, перешли ли они на нее на дефолту, как собирались, или еще нет.

ins3y3d ★★★★★ ()

Цена свободы.

если вы так хотите анонимности в сети, знайте цену, которую вы за нее платите.

Взлом дырявых форумных двишков сайтов некоторых не слишком популярных дистрибутивов маргинальных ОС та цена свободы которую я готов заплатить незадумываясь.

Camel ★★★★★ ()
Ответ на: комментарий от leg0las

злоумышленники завладели данными авторизации аккаунта одного из администраторов


при чем здесь phpbb?

Erfinder ()

К чему относится цитата об анонимности в сети?

unt1tled ★★★★ ()

Атака произошла из подсети 199.254.238.0/24, принадлежащей ресурсу riseup.net

Это ж надо было так этот прекрасный сервис обосрать.

NaN ()

на сайт была добавлена внутренняя система оповещения о подозрительных событиях

Пока гром не грянет...

kerneliq ★★★★★ ()

Так пароли md5 c солью - в чем проблема-то, зачем менять? Они скорее коллизию найдут, чем пароль угадают по такому делу.

mithron ()

Придуркам делать нефиг как взламывать, лучше б делом занялись.

cinyflo ★★★★★ ()

Ждем массовых рассылок пользователей Sabayon Linux, призывающих перейти на Hardened Gentoo.

pkurg ★★★ ()

...если вы так хотите анонимности в сети, знайте цену, которую вы за нее платите.

Автор сообщения толстое трололо. Если следовать его логике, то цена - это взлом пхпбб, что какбэ намекает.

gavlig ★★★ ()

Если вы не помните свой логин, вы можете написать письмо по адресу website <at> sabayon <dot> org с указанием своего почтового адреса

отправьте СМС на короткий номер :-)

MKuznetsov ★★★★★ ()

Эта была месть за переход на systemd? :)

AX ★★★★★ ()

Как замечает автор сообщения, если вы так хотите анонимности в сети, знайте цену, которую вы за нее платите.

Взломали так взломали. Танцпол на главной - вот новость!

Bagrov ★★★★ ()

админ ходил на свой ресурс через ТОР?

exception13 ★★★★★ ()

md5 с солью

ололо

Уязвимость была обнаружена довольно быстро, и сейчас администраторы предприняли меры против повторения взломов.

но им, конечно, не пришла в голову идея заменить функцию деривации ключа на что-нибудь вменяемое.

trycatch ★★★ ()

С кем не бывает.

IPR ★★★★★ ()

А сколько штук пользователей у этого сабабона? И кому это вообще интересно? Взломали практически домашний бложек с тремя десятками посетителей-маргиналов. Кой фиг трезвонить об этой «трагедии» неудачников-админов?

anonymous ()

хакер

Ты чего врёшь?

anonymous ()

Отсутствие анонимности, конечно же, помешало бы ему подключиться к кабелю в соседнем подъезде.

Alsvartr ★★★★★ ()
Ответ на: комментарий от mithron

Они скорее коллизию найдут, чем пароль угадают по такому делу.

эммм.. дык, в том и суть криптостойких алгоритмов - не допускать коллизий.. а если выбранный метод защиты оказался говном, и коллизию найдут быстрей, чем оригинальный пароль, так это даже еще хуже, т.к. она будет работать точно так же, как и реальный пароль и уже будет неважно, какой там настоящий пароль был.. конечно, есть некоторые оговорки, но сути это, в большинстве случаев, не меняет..

Indexator ★★★ ()
Ответ на: комментарий от Indexator

Они посоленную коллизию найдут. То есть на других ресурсах с другой солью эти коллизии работать не будут. А на этом надеюсь догадались просто сбросить пароли пользователей на случайно сгенеренные с новой солью?

mithron ()
Ответ на: комментарий от anonymous

Я сижу, лучше дистра не видел, после FreeBSD-GhostBSD

anonymous ()

ну, если их сервак находится в неведомой никому подсети, работающей через неведомо что - грош цена их админу. Головой надо думать, а потом делать. Тогда и не будет «атак их подсети через ноды».

reprimand ★★★★★ ()

Как замечает автор сообщения, если вы так хотите анонимности в сети, знайте цену, которую вы за нее платите.

да, ок.

anonymous ()

Как замечает автор сообщения, если вы так хотите анонимности в сети, знайте цену, которую вы за нее платите.

Я бы сказал, что кисо обиделось. Ибо замечание, мягко говоря, к делу не относится.

zbarassky ()
Ответ на: комментарий от amorpher

Фоновый рисунок на рабочем столе позволяет составить нам психологический портрет человека, установившего его. Так этот человек склонен к гомосексуальным фантазиям по отношению к молоденьким мальчикам, что символизирует бородатый дед указывающий на мальчика-буратино. Так же на фоновом рисунке монитора изображенного на фоновом рисунке изображены трансвиститы, что указывает нам на скрытое влечение к матери и желание быть девочкой. Так же общая цветовая гамма изображения дает нам понять, что у этого человека непреодалимая тяга к копро и алкоголю. По общей компановке можно сказать, что этот человек внутри мягок и раним и испытывает огромную боль от нереализованных сексуальных фантазий.

anonymous ()

md5 с солью

С луком и чесноком еще напиши.

Jayrome ★★★★★ ()

А сколько кудахтанья было, когда взломали форум убунты :)

Valkeru ★★★★ ()
Ответ на: Цена свободы. от Camel

Re: Цена свободы.

та цена свободы которую я готов заплатить незадумываясь.

IMHO, речь идёт о репутации этих самых средств анонимизации и отношении к тем, кто их использует.

После того, как айпишник попадает в список активных экзитнод TOR, ходить по интернетам становится куда веселее. Гугл посылает на йух подтвердить личность при попытке залогиниться или забрать почту через POP3 (а потом бодро рапортует, мол, стучались с подозрительного адреса). Где–то блочится регистрация и анонимные комментарии, где–то не работает голосование, некоторые сайты не отдают контент вообще. Ну и капчи становится больше, хорошей и разной.

Quote ()

если вы так хотите анонимности в сети, знайте цену, которую вы за нее платите.

анонимность может быть и под чужим именем.

anonymous ()

на форуме написано

Stories about Sabayon, roosters, hens and chickens, on Linux

ну как так можно, а?

anonymous ()
Ответ на: комментарий от anonymous

Так многие школьники считают, на самом деле интернет не анонимен по своей архитектуре.

anonymous ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.