A Joomla szabad tartalomkezelő rendszer fejlesztői a resources.joomla.org webhely külső tárolójában lévő teljes webhelybiztonsági mentések elhelyezésének tényéről, amelyek tartalmazzák a JRD (Joomla Resources Directory) felhasználói adatbázisát.
A biztonsági mentések nem voltak titkosítva, és 2700 résztvevő adatait tartalmazták, akik a resources.joomla.org webhelyen regisztráltak, ahol a Joomla alapú webhelyeket létrehozó fejlesztőkről és szolgáltatókról szerezhetők információk. A nyilvánosan hozzáférhető személyes adatokon kívül az adatbázisban jelszóhash-ek, nem közzétett rekordok és IP-címek is szerepeltek. Minden JRD katalógusába regisztrált felhasználónak javasolt, hogy változtasson jelszót, és ellenőrizze a jelszavak esetleges másolását más szolgáltatásokban.
A biztonsági másolatot a projekt egy résztvevője helyezte el egy harmadik fél által birtokolt Amazon Web Services S3 tárolóban, amelyet egy korábbi vezető alapított a JRD-nél, aki a baleset idején a fejlesztők között maradt. Az incidens kivizsgálása még nem zárult le, és nem világos, hogy a biztonsági másolat harmadik fél birtokába került-e. Az incidens után végzett audit azonban megmutatta, hogy a resources.joomla.org szerveren olyan rendszergazda fiókok voltak, amelyek nem a Joomla projekt karbantartásáért felelős Open Source Matters alkalmazottaihoz tartoztak (nem világos, hogy ezek az emberek mennyire kapcsolódnak a projekthez).
Forrás: opennet.ru
