Forum Ubuntu ponownie na celowniku

Forum Ubuntu ma wyjątkowego pecha. Niektórzy jeszcze na dobre nie pozbierali się po poprzednim włamaniu (np. ja – nawet nie zdążyłem założyć tam nowego konta), a ponownie mamy do czynienia z wrogim przejęciem. Tym razem rozmiar wycieku jest nieco mniejszy (hasła są bezpieczne), ale jednak nasze (wasze) adresy email, adresy IP i loginy dostały się w brudne łapska żartownisiów wojujących z opensource. Skala jest niebagatelna, bo zdołano przejąć dane 2 mln użytkowników.

Informację o włamaniu potwierdziła CEO Jane Silber we wpisie na blogu. Według zebranych danych wynika, że wykorzystano starą dobrą metodą SQL injection, przed którą forum Ubuntu nie było zabezpieczone – a konkretnie jeden z jego komponentów, dodatek Forumrunner. W ten oto sposób (rodem z zabaw młodocianych script kiddies) łupem padło 2 mln adresów e-email, adresów IP i loginów. Ponieważ jednak forum podczas autoryzacji użytkowników korzysta z Ubuntu Single Sign On, hasła pozostały bezpieczne (nie są przechowywane w bazie danych). Co więcej, Canonical nie było nawet świadome tego włamania, dopóki ktoś nie zaczął chwalić się posiadaniem takiej bazy. Dopiero wtedy sprawa została zbadana, załatano lukę w oprogramowaniu i przywrócono pełną funkcjonalność forum. Bezpieczne pozostają również repozytoria z oprogramowaniem i inne usługi. Niemniej, jeżeli korzystaliście z tego forum – spodziewajcie się różnych atrakcyjnych ofert na swojej skrzynce pocztowej.

Czy to ładnie atakować forum związane z opensource? Nieładnie. Niestety, nie ma już rzeczy świętych na tym świecie, a takie ataki są (i będą) odpowiedzią na rosnącą popularność Linuksa i jego dystrybucji. Pozostaje zatem tylko apelować o większą rozwagę w podawaniu swoich danych (np. można korzystać z tymczasowych i jednorazowych adresów email) a administratorów forum – o większą czujność przy instalowaniu dodatków.