Sviluppatori del sistema di gestione dei contenuti open source Joomla su aver identificato la presenza di backup completi del sito resources.joomla.org, memorizzati in un deposito esterno, che includevano il database degli utenti del catalogo JRD (Joomla Resources Directory).
I backup non erano criptati e contenevano dati su 2700 partecipanti registrati al sito resources.joomla.org, dove sono raccolte informazioni su sviluppatori e fornitori che creano siti basati su Joomla. Oltre ai dati personali pubblici nel database, erano presenti informazioni su hash delle password, record non pubblicati e indirizzi IP. Si consiglia a tutti gli utenti registrati nel catalogo JRD di cambiare le password e di analizzare la possibile duplicazione delle password su altri servizi.
Il backup è stato memorizzato da un partecipante al progetto in un deposito esterno su Amazon Web Services S3, di proprietà di una terza azienda fondata da un ex leader JRD, rimanendo tra gli sviluppatori al momento dell'incidente. L'analisi dell'incidente non è ancora conclusa e non è chiaro se il backup sia finito in mani sbagliate. Tuttavia, l'audit condotto dopo l'incidente ha rivelato che sul server resources.joomla.org erano presenti account con diritti di amministratore, non appartenenti ai dipendenti di Open Source Matters, che gestisce il progetto Joomla (non è specificato in quale misura queste persone siano collegate al progetto).
Fonte: opennet.ru
