Hacking infrastruktur matrix.org

[: en]

Pamekar tina platform olahtalatah desentralisasi Matrix ngumumkeun ngeunaan shutdown darurat tina server matrix.org и Rusuhan.im (Klién utama Matrix) kusabab hacking infrastruktur proyék. Pareum kahiji lumangsung tadi peuting, nu satutasna server teu sadia dibalikeun, sareng aplikasina diwangun deui tina sumber rujukan. Tapi sababaraha menit ka tukang éta server kompromi kadua kalina.

Panyerang dipasang dina utama kaca proyék inpo wincik tentang konfigurasi server na data ayana database kalawan hashes ampir lima satengah juta pamaké Matrix. Salaku bukti, hash sandi pamimpin proyék Matrix sayogi umum. Kode situs dirobah disimpen dina gudang GitHub panyerang (henteu aya dina gudang matriks resmi). Rinci ngeunaan hack kadua jadi jauh deudeuh.

Saatos hack munggaran ku tim Matrix, éta diterbitkeun laporan, Nu nunjukkeun yén Hack ieu komitmen ngaliwatan kerentanan dina sistem integrasi kontinyu Jenkins unupdated. Saatos kéngingkeun aksés ka server Jenkins, panyerang nyegat konci SSH sareng tiasa ngaksés server infrastruktur sanés. Ieu nyatakeun yén kode sumber sareng bungkusan henteu kapangaruhan ku serangan éta. Serangan ogé henteu mangaruhan server Modular.im. Tapi panyerang ngagaduhan aksés kana DBMS utama, anu ngandung, diantarana, pesen anu teu énkripsi, token aksés sareng hashes kecap akses.

Sadaya pangguna diparéntahkeun pikeun ngarobih kecap aksesna. Tapi salila prosés ngarobah kecap akses dina klien Riot utama, pamaké disanghareupan kalayan leungitna file sareng salinan cadangan konci pikeun malikkeun korespondensi énkripsi sareng henteu mampuh ngaksés sajarah pesen anu kapungkur.

Hayu urang ngingetan yén platform pikeun ngatur komunikasi desentralisasi matrix dibere salaku proyék anu ngagunakeun standar kabuka sarta nengetan gede pikeun mastikeun kaamanan sarta privasi pamaké. Matrix nyadiakeun enkripsi tungtung-to-tungtung dumasar kana protokol sorangan, kaasup algoritma Double Ratchet (ogé dipaké salaku bagian tina protokol Signal), ngarojong pilarian tur nempoan taya sajarah susuratan, bisa dipaké pikeun mindahkeun file, ngirim bewara, evaluate. ayana pamekar online, pangatur teleconferences, nelepon sora jeung video. Éta ogé ngadukung fitur canggih sapertos ngetik bewara, maca konfirmasi, bewara push sareng milarian sisi server, singkronisasi sajarah sareng status klien, sababaraha pilihan identifier (email, nomer telepon, akun Facebook, jsb.).

Bubuhan: diterbitkeun dituluykeun ku pedaran hack kadua, informasi ngeunaan bocor konci PGP, sarta tinjauan masalah kaamanan nu ngarah ka hack.

sumberopennet.ru

[: en]

Pamekar tina platform olahtalatah desentralisasi Matrix ngumumkeun ngeunaan shutdown darurat tina server matrix.org и Rusuhan.im (Klién utama Matrix) kusabab hacking infrastruktur proyék. Pareum kahiji lumangsung tadi peuting, nu satutasna server teu sadia dibalikeun, sareng aplikasina diwangun deui tina sumber rujukan. Tapi sababaraha menit ka tukang éta server kompromi kadua kalina.

Panyerang dipasang dina utama kaca proyék inpo wincik tentang konfigurasi server na data ayana database kalawan hashes ampir lima satengah juta pamaké Matrix. Salaku bukti, hash sandi pamimpin proyék Matrix sayogi umum. Kode situs dirobah disimpen dina gudang GitHub panyerang (henteu aya dina gudang matriks resmi). Rinci ngeunaan hack kadua jadi jauh deudeuh.

Saatos hack munggaran ku tim Matrix, éta diterbitkeun laporan, Nu nunjukkeun yén Hack ieu komitmen ngaliwatan kerentanan dina sistem integrasi kontinyu Jenkins unupdated. Saatos kéngingkeun aksés ka server Jenkins, panyerang nyegat konci SSH sareng tiasa ngaksés server infrastruktur sanés. Ieu nyatakeun yén kode sumber sareng bungkusan henteu kapangaruhan ku serangan éta. Serangan ogé henteu mangaruhan server Modular.im. Tapi panyerang ngagaduhan aksés kana DBMS utama, anu ngandung, diantarana, pesen anu teu énkripsi, token aksés sareng hashes kecap akses.

Sadaya pangguna diparéntahkeun pikeun ngarobih kecap aksesna. Tapi salila prosés ngarobah kecap akses dina klien Riot utama, pamaké disanghareupan kalayan leungitna file sareng salinan cadangan konci pikeun malikkeun korespondensi énkripsi sareng henteu mampuh ngaksés sajarah pesen anu kapungkur.

Hayu urang ngingetan yén platform pikeun ngatur komunikasi desentralisasi matrix dibere salaku proyék anu ngagunakeun standar kabuka sarta nengetan gede pikeun mastikeun kaamanan sarta privasi pamaké. Matrix nyadiakeun enkripsi tungtung-to-tungtung dumasar kana protokol sorangan, kaasup algoritma Double Ratchet (ogé dipaké salaku bagian tina protokol Signal), ngarojong pilarian tur nempoan taya sajarah susuratan, bisa dipaké pikeun mindahkeun file, ngirim bewara, evaluate. ayana pamekar online, pangatur teleconferences, nelepon sora jeung video. Éta ogé ngadukung fitur canggih sapertos ngetik bewara, maca konfirmasi, bewara push sareng milarian sisi server, singkronisasi sajarah sareng status klien, sababaraha pilihan identifier (email, nomer telepon, akun Facebook, jsb.).

Bubuhan: diterbitkeun dituluykeun ku pedaran hack kadua, informasi ngeunaan bocor konci PGP, sarta tinjauan masalah kaamanan nu ngarah ka hack.

sumber: opennet.ru

[]