Хостинг Savannah.gnu.org взломан неизвестными злоумышленниками
Работа хостинга свободных проектов savannah.gnu.org, в рамках которого развиваются многие GNU-инструменты, временно приостановлена. Судя по опубликованному на сайте сообщению, сервер был взломан через подстановку SQL-запроса в web-сервисе Savane2, в результате чего злоумышленнику удалось получить доступ к базе аккаунтов, содержащей шифрованные пароли всех пользователей хостинга. Используя данную базу, злоумышленнику удалось подобрать некоторые пароли и использовать из для доступа к размещенным на хостинге проектам.В настоящее время ведется работа по восстановлению содержимого сервера из резервной копии, созданной 23 ноября. Все изменения, добавленные в репозитории исходных текстов после 23 ноября потребуют ручного восстановления. Статус восстановления можно посмотреть в микроблоге fsfstatus. Работа web-интерфейса будет восстановлена после устранения уязвимости, проведения дополнительного аудита кода платформы Savane2 и сброса паролей пользователей. В дальнейшем планируется перейти на использование более стойкого и безопасности метода хранения паролей (судя по всему, до сих пор пароли размещались в SQL-таблице, доступной на чтение пользователю, под которым работал web-интерфейс проекта).
Одновременно неудача постигла сервер lists.gnu.org, на котором в RAID-массиве оказались повреждены сразу два диска. Несколько часов назад проблемы наблюдались и с работой www.gnu.org, но в данный момент сайт возвращен к жизни.
© OpenNet
