Mozilla ajoute de la violation de la fonction d’alerte pour le navigateur Firefox
Mozilla apporte Firefox Moniteur de Firefox sur le bureau.
Matrix.org a été victime d’une cyberattaque qui a obligé l’organisation à la refonte de l’ensemble de son infrastructure de production et d’informer les usagers de la répandue, les informations d’identification de fuite.
Jeudi, le développeur de la norme ouverte pour la communication en temps réel sur IP, y compris la Messagerie Instantanée, la VoIP/WebRTC de signalisation, et de l’Internet des objets (Ido) la communication, a déclaré dans un billet de blog qu’un attaquant inconnu réussi à accéder à des serveurs d’hébergement Matrix.org.
Selon le groupe, le pirate a obtenu l’accès à une base de données de production qui, à son tour, potentiellement leur ont accordé l’accès à “un message non crypté de données, mots de passe, et les jetons d’accès.”
À but non lucratif, dont la norme est utilisée par la décentralisation de chat plates-formes, y compris l’Émeute, WeeChat, Nheko, et les Quaternions, a été nécessaire de retirer son serveur à la maison et de l’infrastructure de production hors ligne dès que la violation a été détecté.
La perturbation a causé des heures de cours de temps d’arrêt, dans lequel Matrix.org a déclaré que l’organisation avait couru dans les questions de “la reconstruction de la production à partir de zéro.” Sites web, bases de données, synapse, Livres, médias et dépôts ont tous été touchés.
Modulaire.im homeservers, cependant, sont indemnes.
Voir aussi: Yahoo violation de données de règlement de l’effort atteint 117,5 millions $
“Le code Source et les forfaits ne sont pas affectés,” Matrix.org dit sur Twitter. “Nous ne pensons pas que les données de l’utilisateur a été la cible, mais à jouer c’est sûr.”
Le groupe dit que la sécurité de l’incident a été causé en raison de vulnérabilités dans les infrastructures de production, à savoir, une version obsolète de Jenkins, un open-source Java serveur automation.
CVE-2019-1003000, CVE-2019-1003001, et CVE-2019-1003002 ont été utilisé pour pirater et voler interne des clés SSH pour accéder à l’infrastructure de production.
CNET: Julian Assange, de la défense contre le piratage des charges, et où il tombe à court
L’éthique hacker JaikeySarraf informé Matrix.org de la présence de ces défauts de sécurité le 9 avril. Le lendemain, la Matrice de l’équipe a mis en évidence la localisation des vulnérabilités et par la suite découvert l’ampleur de l’attaque.
Le 10 avril, Jenkins a été supprimé, la révocation de l’attaquant de l’accès. 24 heures plus tard, Matrix.org tiré de sa résidence principale serveur hors ligne et a commencé à reconstruire son infrastructure de production.
Tous Matrix.org les utilisateurs ont été enregistrés et ont été invités à changer immédiatement son mot de passe. Alors que l’attaquant n’a pas accès aux mots de passe en clair, la faiblesse, la hacher les informations d’identification pourrait encore éventuellement être fissuré.
Le contenu non crypté — y compris des messages privés, des mots de passe, et les jetons d’accès — peut avoir été compromise, ce qui a conduit Matrix.org pour vous connecter à tous les utilisateurs et a également potentiellement empêché certains utilisateurs de pouvoir accéder à leur chiffré de l’historique de conversation si aucune sauvegarde n’étaient en place.
TechRepublic: Comment bloquer les attaques SSH sous Linux avec denyhosts
“Ce fut un choix difficile à faire,” Matrix.org dit. “Nous avons pesé le risque de certains utilisateurs de perdre l’accès à des messages cryptés à l’encontre de tous les comptes d’utilisateurs qui sont vulnérables à détourner via le compromis de jetons d’accès. Nous espérons que vous pouvez voir pourquoi nous avons pris la décision de donner la priorité compte de l’intégrité de l’accès à des messages cryptés, mais nous sommes désolés pour les inconvénients que cela peut avoir causé.”
Le groupe est actuellement l’accent sur la restauration des services et de la reconstruction de ses systèmes internes. Matrix.org a promis que l’organisation de renforcer sa sécurité et de coller au plus agressive correctifs pratiques dans l’avenir.
Précédente et de la couverture liée
AeroGrow communique la violation de données, le clonage de carte les logiciels malveillants blâmé
La sécurité en ligne 101: Comment protéger votre vie privée contre les pirates, espions, et le gouvernement
Georgia Tech révèle une violation de données, 1.3 millions de documents exposés
Rubriques Connexes:
De sécurité de la TÉLÉVISION
La Gestion Des Données
CXO
Les Centres De Données