Sviluppatori del sistema di gestione dei contenuti open source Joomla sulla scoperta di copie di backup complete del sito resources.joomla.org caricate in un deposito di terze parti, che includono il database degli utenti del catalogo JRD (Joomla Resources Directory).
I backup non erano crittografati e contenevano dati su 2700 partecipanti registrati sul sito resources.joomla.org, dove sono raccolte informazioni su sviluppatori e fornitori che creano siti basati su Joomla. Oltre ai dati personali pubblicamente accessibili, il database conteneva informazioni su hash delle password, registrazioni non pubblicate e indirizzi IP. Si consiglia a tutti gli utenti registrati nel catalogo JRD di cambiare le password e analizzare eventuali duplicati delle password su altri servizi.
Il backup è stato caricato da un partecipante al progetto in un deposito di terze parti su Amazon Web Services S3, di proprietà di una società esterna fondata da un ex leader JRD, che al momento dell'incidente era ancora tra gli sviluppatori. L'indagine sull'incidente non è ancora conclusa e non è chiaro se il backup sia finito in mani sbagliate. Tuttavia, un audit condotto dopo l'incidente ha mostrato che sul server resources.joomla.org erano presenti account con diritti di amministratore non appartenenti a dipendenti della società Open Source Matters, che fornisce supporto al progetto Joomla (non viene specificato quanto queste persone siano collegate al progetto).
Fonte: opennet.ru
