近日Ubuntu官方论坛被黑,泄露了超过200万数据,本次泄露的用户数据包括IP地址、用户名和电子邮件地址。据官方透露,这是因为论坛系统补丁的缺失,才导致了用户数据的泄露。 但是大家需要知道,本次攻击事件并不会影响Ubuntu操作系统,也不是由于操作系统的漏洞引起的。据最初报道的BetaNews所述,这次数据泄露只影响了Ubuntu官网的“操作系统论坛”。 Canonical公司的CEO Jane Silber在一篇博文中写道:
论坛插件ForumrunnerSQL注入Xday经过深入调查后,发现罪魁祸首是论坛插件Forumrunner的SQL注入Xday,因为没有及时打上补丁,才导致了用户数据的泄露。事实上这听起来很糟糕,也证明了安全最弱的环节,仍然是人为的这一块。 攻击者利用SQL注入漏洞,从论坛数据库里下载了部分数据,即约200万用户的用户名、电子邮件地址和IP地址信息。 官方论坛作为Ubuntu单点登录的入口,表里储存的密码是随机字符串(salt+hash),黑客这次并没有能直接获取密码明文。尽管Canonical官方迅速修补了漏洞,但这仍然很让人失望。由于该公司未及时打上漏洞补丁,才导致了这次大型数据泄露事件的发生。 |