Canonical, qui est responsable du développement de la distribution Ubuntu, a déclaré dans un communiqué publié vendredi qu’une brèche dans la sécurité des forums Ubuntu a permis à un pirate de mettre la main sur des données des utilisateurs. « Le 14 juillet 2016, l’équipe Canonical chargée du système d’information a été informée par un membre d’Ubuntu Forums Council qu’un individu a prétendu avoir une copie de la base de données Forums.
Après avoir mené une enquête, nous avons été en mesure de confirmer qu’il y a eu une exposition des données et avons entrepris de fermer les Forums comme mesure de précaution. Une enquête plus poussée a révélé qu’il y avait une vulnérabilité connue permettant une injection SQL dans le module Forumrunner sur les Forums qui n’a pas encore été colmatée », a indiqué Jane Silber, le PDG de Canonical.
Il a précisé que l’attaquant a été en mesure d’effectuer une injection de SQL dans la base de données Forums sur les serveurs, ce qui lui a donné la possibilité de lire toutes les tables, « mais nous pensons qu’il n’a lu que la table “utilisateur”». L’attaquant s’est servi de ces accès pour télécharger des portions de cette table qui contient des noms d’utilisateur, des adresses mail et IP de 2 millions d’utilisateurs. Silber affirme qu’aucun mot de passe actif n’a pu être récupéré par le pirate : « les mots de passe sauvegardés sur cette table sont des chaînes de caractères aléatoires étant donné que les forums Ubuntu se basent sur Ubuntu Single Sign On pour l’authentification. Le pirate a téléchargé ces chaînes de caractères (lesquelles étaient hashées et salées) ».
Toutefois, Silber précise que l’attaquant n’a PAS été en mesure d’avoir accès à un dépôt quelconque de code ou un mécanisme de mise à jour. Il n’a PAS eu accès non plus aux serveurs front end des forums et n’a PAS été en mesure d’avoir un accès en écriture à la base de données.
Aussi, Canonical a entrepris un certain nombre d’actions de nettoyage (l’une des mesures à consister à effectuer une sauvegarde des serveurs exécutant vBulletin, puis les effacer complètement et les reconstruire) et de renforcement de la sécurité (Canonical a par exemple décidé de se servir de ModSecurity, une application web de type pare-feu qui aiderait à prévenir des attaques similaires dans le futur).
« Nous prenons la sécurité de l’information ainsi que la notion de vie privée au sérieux, suivons un ensemble strict de pratique de sécurité », a rassuré Jane Silber.
Source : message du PDG de Canonical
Voir aussi :
le forum sécurité