Die offiziellen Ubuntu-Foren sind gehackt worden. Dabei wurden Daten von zwei Millionen Nutzern abgegriffen.

Wie Canonical mitteilt, sind die offiziellen Ubuntu-Foren gehackt worden. Dabei sollen die unbekannten Angreifer IP-Adressen, E-Mails und Benutzernamen von zwei Millionen Nutzern heruntergeladen haben. Passwörter sollen nicht zur Beute gehören, da Canonical beim Foren-Login auf das hauseigene Ubuntu Single Sign On setzt.

Zudem sei man sicher, dass die Angreifer keinen Zugriff auf die Ubuntu-Code-Repositories hatten. Inzwischen seien die Lücken beseitigt und der Zugriff auf die Foren ist wieder möglich.

Zugriff über Foren-Add-On

Laut Canonical wurde das hauseigene Sicherheitsteam am 14. Juli darauf hingewiesen, dass jemand eine Kopie der Foren-Datenbank besitze. Nach einer Überprüfung wurde eine Sicherheitslücke im Zusammenhang mit einer SQL-Injection-Lücke in einem Add-On für die Forensoftware vBulletin gefunden. Das Forum wurde daraufhin abgeschaltet.

Statt Foren-Passwörtern im Klartext, hat Canonical in der Datenbank eigenen Angaben zufolge nur gehashte und gesalzene Strings gespeichert. Zugriff auf die Ubuntu Single Sign On-Passwörter soll nicht möglich gewesen sein. Das Forum wurde bereits 2013 schon einmal gehackt. Damals kamen auch Passwörter abhanden.

Quelle: //heise.de/-3266291