Security: vBulletin-Software der Opensuse-Foren gehackt
In die Foren des Opensuse-Projekts ist ein Hacker eingebrochen(öffnet im neuen Fenster). Der nach eigenen Angaben aus Pakistan stammende Hacker will auf die Schwachstelle in der Forensoftware aufmerksam machen und möglicherweise zugängliche private Daten nicht veröffentlichen. Ein Angreifer habe Zugang zu Anmeldedaten wie Benutzername oder E-Mail-Adresse, so das Opensuse-Team. Ein Zugriff auf Passwörter sei aber nicht möglich.
Der Hacker, der sich H4x0r HuSsY nennt, nutzte eine Schwachstelle in vBulletin. Pikanterweise setzt das Opensuse-Team die proprietäre, PHP-basierte Forensoftware in Version 4.2.1 ein, die nachweislich mindestens eine bekannte Sicherheitslücke hat. Dem Hacker gelang es nach eigenen Angaben, eine nur ihm bekannte Zero-Day-Schwachstelle zu nutzen, um auf den Forenserver ein PHP-Skript einzuschleusen. Damit soll er auch ohne Root-Rechte Dateien lesen, verändern und überschreiben können. Die Schwachstelle gibt es laut H4x0r HuSsY auch in Version 5.0.5 von vBulletin.
Inzwischen hat das Opensuse-Team den Vorfall untersucht und zunächst das Forum deaktiviert, da es keine bekannte Lösung für den vom Hacker genutzten Fehler gebe(öffnet im neuen Fenster). Passwörter habe der Angreifer nicht mitnehmen können, da das Forum das Single-Sign-On-System des Access Managers von NetIQ nutzt. H4x0r HuSsY hatte hingegen behauptet, er habe auch eine Liste von Passwörtern erbeutet, die er an die Webseite Hacker News weitergegeben habe(öffnet im neuen Fenster). Es handele sich dabei um zufällige Zeichenketten, die keinerlei Bezug zu den eigentlichen Benutzerpasswörtern hätten, schreibt das Opensuse-Team. Die E-Mail-Adressen der 79.500 Nutzer seien hingegen zugänglich gewesen. Neuigkeiten über den Hack verbreitet das Opensuse-Team über Twitter(öffnet im neuen Fenster).
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.