ٻئي حملي دوران، matrix.org ويب سائيٽ کي ٻي سرور ڏانهن منتقل ڪيو ويو (matrixnotorg.github.io) DNS پيٽرولر کي تبديل ڪندي، Cloudflare مواد پهچائڻ واري سسٽم API کي استعمال ڪندي پهرين حملي دوران مداخلت ڪئي وئي. جڏهن پهرين هيڪ کان پوءِ سرور جي مواد کي ٻيهر تعمير ڪيو ويو، ميٽرڪس منتظمين صرف نيون ذاتي چابيون اپڊيٽ ڪيون ۽ Cloudflare جي ڪيچ کي اپڊيٽ ڪرڻ کان محروم ٿي ويا.
ٻئي حملي دوران، ميٽرڪس سرورز اڻڄاتل رهي؛ تبديليون صرف DNS ۾ پتي کي تبديل ڪرڻ تائين محدود هئا. جيڪڏهن صارف پهريان ئي پهرين حملي کان پوءِ پاسورڊ تبديل ڪري چڪو آهي، ته ان کي ٻيو ڀيرو تبديل ڪرڻ جي ڪا ضرورت ناهي. پر جيڪڏهن پاسورڊ اڃا تائين تبديل نه ڪيو ويو آهي، ان کي جلد کان جلد اپڊيٽ ڪرڻ جي ضرورت آهي، ڇاڪاڻ ته پاسورڊ هيش سان ڊيٽابيس جي ليڪ جي تصديق ڪئي وئي آهي. موجوده منصوبو هڪ زبردستي پاسورڊ ري سيٽ عمل کي شروع ڪرڻ آهي جڏهن توهان ايندڙ وقت لاگ ان ڪندا آهيو.
پاسورڊ جي ليڪ کان علاوه، اها پڻ تصديق ڪئي وئي آهي ته ڊيبين Synapse مخزن ۾ پيڪيجز لاء ڊجيٽل دستخط پيدا ڪرڻ لاء استعمال ٿيل GPG چابيون ۽ فساد / ويب رليز حملي ڪندڙن جي هٿن ۾ اچي ويا آهن. ڪنجيون پاسورڊ محفوظ هيون. چابيون هن وقت اڳ ۾ ئي رد ڪيون ويون آهن. چابيون 4 اپريل تي روڪيون ويون، ان کان پوءِ ڪوبه Synapse اپڊيٽ جاري نه ڪيو ويو آهي، پر Riot/Web کلائنٽ 1.0.7 جاري ڪيو ويو (هڪ ابتدائي چيڪ ڏيکاريو ويو ته اهو سمجهوتو نه ڪيو ويو).
حملي آور GitHub تي رپورٽن جو هڪ سلسلو پوسٽ ڪيو حملي جي تفصيل سان ۽ تحفظ وڌائڻ لاءِ صلاحون، پر اهي ڊهي ويون. بهرحال، آرڪائيو ٿيل رپورٽون
مثال طور، حملي ڪندڙ ٻڌايو ته ميٽرڪس ڊولپرز کي گهرجي
اضافي طور تي، پروڊڪشن سرورز تي ڊجيٽل دستخط ٺاهڻ لاءِ چاٻيون محفوظ ڪرڻ جي مشق تي تنقيد ڪئي وئي؛ اهڙن مقصدن لاءِ هڪ الڳ الڳ ميزبان مختص ڪيو وڃي. اڃا تائين حملو
ذريعوopennet.ru
[: en]ٻئي حملي دوران، matrix.org ويب سائيٽ کي ٻي سرور ڏانهن منتقل ڪيو ويو (matrixnotorg.github.io) DNS پيٽرولر کي تبديل ڪندي، Cloudflare مواد پهچائڻ واري سسٽم API کي استعمال ڪندي پهرين حملي دوران مداخلت ڪئي وئي. جڏهن پهرين هيڪ کان پوءِ سرور جي مواد کي ٻيهر تعمير ڪيو ويو، ميٽرڪس منتظمين صرف نيون ذاتي چابيون اپڊيٽ ڪيون ۽ Cloudflare جي ڪيچ کي اپڊيٽ ڪرڻ کان محروم ٿي ويا.
ٻئي حملي دوران، ميٽرڪس سرورز اڻڄاتل رهي؛ تبديليون صرف DNS ۾ پتي کي تبديل ڪرڻ تائين محدود هئا. جيڪڏهن صارف پهريان ئي پهرين حملي کان پوءِ پاسورڊ تبديل ڪري چڪو آهي، ته ان کي ٻيو ڀيرو تبديل ڪرڻ جي ڪا ضرورت ناهي. پر جيڪڏهن پاسورڊ اڃا تائين تبديل نه ڪيو ويو آهي، ان کي جلد کان جلد اپڊيٽ ڪرڻ جي ضرورت آهي، ڇاڪاڻ ته پاسورڊ هيش سان ڊيٽابيس جي ليڪ جي تصديق ڪئي وئي آهي. موجوده منصوبو هڪ زبردستي پاسورڊ ري سيٽ عمل کي شروع ڪرڻ آهي جڏهن توهان ايندڙ وقت لاگ ان ڪندا آهيو.
پاسورڊ جي ليڪ کان علاوه، اها پڻ تصديق ڪئي وئي آهي ته ڊيبين Synapse مخزن ۾ پيڪيجز لاء ڊجيٽل دستخط پيدا ڪرڻ لاء استعمال ٿيل GPG چابيون ۽ فساد / ويب رليز حملي ڪندڙن جي هٿن ۾ اچي ويا آهن. ڪنجيون پاسورڊ محفوظ هيون. چابيون هن وقت اڳ ۾ ئي رد ڪيون ويون آهن. چابيون 4 اپريل تي روڪيون ويون، ان کان پوءِ ڪوبه Synapse اپڊيٽ جاري نه ڪيو ويو آهي، پر Riot/Web کلائنٽ 1.0.7 جاري ڪيو ويو (هڪ ابتدائي چيڪ ڏيکاريو ويو ته اهو سمجهوتو نه ڪيو ويو).
حملي آور GitHub تي رپورٽن جو هڪ سلسلو پوسٽ ڪيو حملي جي تفصيل سان ۽ تحفظ وڌائڻ لاءِ صلاحون، پر اهي ڊهي ويون. بهرحال، آرڪائيو ٿيل رپورٽون
مثال طور، حملي ڪندڙ ٻڌايو ته ميٽرڪس ڊولپرز کي گهرجي
اضافي طور تي، پروڊڪشن سرورز تي ڊجيٽل دستخط ٺاهڻ لاءِ چاٻيون محفوظ ڪرڻ جي مشق تي تنقيد ڪئي وئي؛ اهڙن مقصدن لاءِ هڪ الڳ الڳ ميزبان مختص ڪيو وڃي. اڃا تائين حملو
جو ذريعو: opennet.ru
[:]