Hackere stjal passord fra Apache

Hackere stjal passord fra Apache

Apache Foundation oppfordrer alle til å bytte passordene sine.

Forrige helg angrep hackere Apache Software Foundation, selskapet bak verdens mest populære HTTP-server.

Gjennom cross-site-scripting og passord-gjetting klarte hackerne å bryte seg gjennom Atlassian JIRA-programvaren Apache bruker på sine egne servere. Der installerte de et sniffeprogram som stjal flere passord, slik at de fikk tilgang til og kontroll over to programmer på serveren: Confluence-wiki-en og Bugzilla, som brukes til å loggføre feil med Apache-programvaren.

Apache forteller i et blogginnlegg at det var via Tinyurl, en forkortet nettadresse, at hackerne klarte å lure folk ut på glattisen.

Må bytte passord

Hackerne stjal også passord som ga dem tilgang til People.apache.org, som brukes til å gi kodere kontoene de bruker i Apache-utviklingen.

Men hackerne fikk ikke gjort mye ugagn med informasjonen. Feilene som lagres i Bugzilla regnes ikke som sensitive; Apache er uansett åpen kildekode. Og sikkerhetshull lagres ifølge Apache ikke i dette systemet.

Men mange passord og brukernavn er uansett stjålet, og Apache oppfordrer folk til å bytte passordene sine.

Lagret passord ukryptert

- Heldigvis ble ikke noe kildekode berørt på noen måte, sier visedirektør Philip Gollucci i Apache.

Atlassians servere ble også angrepet av hackerne. Ettersom de to selskapene har tette bånd ser det ut til at Apache-angrepet ble brukt til å få tilgang på Atlassians servere, hvor de lagret passord i klartekst. Atlassian utvikler verktøy som brukes i utvikling, blant annet i Apache, og det er usikkert hvilket av de to selskapene angrepet egentlig var rettet mot.

- Vi gjorde en kjempefeil, innrømmer selskapet i et blogginnlegg, og sikter til passord som ble lagret ukryptert.

- Vi er ekstremt lei oss for det.

Les om: