Car-tech

Hakeri ispucaju dva FreeBSD Project dev servera

Perper - b02 - Vrijeme za psovanje [Bludni snovi, 1993]

Perper - b02 - Vrijeme za psovanje [Bludni snovi, 1993]
Anonim

Hakeri su ugrozili dva poslužitelja koji koriste FreeBSD projekt za izradu softverskih paketa treće strane. Svatko tko je instalirao takve pakete od 19. rujna treba potpuno reinstalirati svoje strojeve, upozorio je projektni tim za sigurnost.

Uhićenja na dva računala u sklopu FreeBSD.org klastera otkrivena su 11. studenog, priopćio je u subotu FreeBSD sigurnosni tim. "Pogođeni strojevi bili su prebačeni na analizu, a veliki dio preostalih infrastrukturnih strojeva također je preuzet iz mreže kao mjera opreza", navodi se u poruci objavljenoj na mailing listu javnih natječaja projekta.

Dva kompromitirana poslužitelja djelovala su kao čvorišta za naslijeđenu infrastrukturu za izgradnju paketa treće strane projekta, rekao je FreeBSD projekt u savjetovanju objavljenom na svojoj web stranici.

[Dodatno čitanje: Kako ukloniti zlonamjerni softver s vašeg Windows računala]

Incident je samo utjecao na zbirku softverskih paketa trećih strana koje distribuira projekt, a ne "osnovne" komponente operacijskog sustava, kao što su kernel, knjižnice sustava, prevodilac ili glavni naredbeni redovi.

Tim za sigurnost FreeBSD-a vjeruje da su uljezi dobili pristup poslužitelji koji koriste legitimni ključ za provjeru autentičnosti SSH ukraden od razvojnog programera, a ne iskorištavaju ranjivost u operacijskom sustavu.

Iako tim nije pronašao nikakve dokaze o tomu

"Nažalost, ne možemo jamčiti integritet svih paketa dostupnih za instalaciju od 19. rujna 2012. do 11. studenog 2012. ili bilo koje luke sastavljene od dobivenih stabala putem bilo kojeg drugog sredstva osim preko svn.freebsd.org ili jednog od njegovih ogledala ", rekla je tim. "Iako nemamo nikakvih dokaza koji bi ukazivali na to da je došlo do neovlaštenih manipulacija i vjerujemo da je takva smetnja malo vjerojatno, moramo preporučiti da razmislite o ponovnom instaliranju bilo kojeg stroja od nule, koristeći pouzdane izvore."

Paketni paketi trenutno dostupni za sve verzije FreeBSD-a

Kao rezultat incidenta, FreeBSD projekt planira ubrzati proces obustavljanja postojećih distribucijskih usluga, poput onih na temelju CVSup, u korist robustan sustav Subversion. Savjetnik uključuje nekoliko preporuka o korisnicima alata, a razvojni programeri trebaju koristiti za ažuriranja, kopiranje izvornog koda i potpisanu binarnu distribuciju.

Ovo nije prvi put da se projekt otvorenog izvornog softvera morao nositi s upadom zbog kompromitirane SSH autentifikacije tipke. U kolovozu 2009. projekt Apache bio je prisiljen isključiti svoje primarne web i zrcalne poslužitelje nakon što je otkrio da su hakeri koristili ključ SSH povezan s automatiziranim backup računom za prijenos i izvršavanje zlonamjernog koda na nekim poslužiteljima.

"Ovo je srdačan podsjetnik da je lanac samo jak kao najslabiji vez ", rekao je Paul Ducklin, voditeljica tehnologije za azijsko-pacifički centar u prodavaonici antivirusnog softvera Sophos, u nedjelju na blogu. "Posebno nikada nemojte zaboraviti da sigurnost vaših internih sustava možda neće biti bolja od sigurnosti svih vanjskih sustava s kojih prihvaćate daljinski pristup - bilo da su to poslužitelji, prijenosna računala, pa čak i mobilni uređaji."