VAROITUS: 33.000 SMF Tietoja ja salasanoja varastettu ja julkaistu!

[Surferbird]

Kuinka on mahdollista että SMF tiedot vuotavat?

Julkisena torrent tiedostona saatavilla olevassa tiedostossa lukee näin:

Hei,
    Lista pitää sisällään noin 29 800 MD5 hashia, muutamisen sataa
    SHA1 hashia, 33 000 kappaletta epäkivoja SMF foorumin hasheja ja
    toki myös muutamisen sataa salasanaa plaintextinä.

YLEN Uutissivulla näin:
Suomalaisia verkkotunnuksia julki, Cert-fi kehottaa salasanojen vaihtoon

Tiedoksi - On siis syytä olla varuillaan!


Täällä on lisää asiasta
http://www.simplemachines.org/community/index.php?topic=200243.0
http://www.yle.fi/uutiset/kotimaa/oikea/id72257.html
http://www.cert.fi/varoitukset/2007/varoitus-2007-7.html

[niko]

Luutavasti hakkeroitu jollekkin palvelimelle jolla on SMF pohjaisia keskustelualueita.

Edit: http://www.cert.fi/tietoturvanyt/2007/10/P_6.html

[Surferbird]

Niinpä, ja eipä nosta SMF arvoa kun nämä hash tiedostot voidan kräkkää todellisiksi salasanoiksi. Olivat testanneet senkin jo suomen puolella eräässä foorumissa ja onnistuneet siinä mainioisti. Huonoa mainetta myöskin smf softalle

[niko]

No ei se kyllä ite SMFään liity. Ei sitä vois tehdä ellei alkuperäisestä saa jotenkin sitä hashia. Joka tapauksessa SMFn ha****** ovat turvallisempia kuin muut ko. tiedostossa olevat. Tietääkseni ne on nimen omaan noi md5 jota on helppo purkaa.

SMF käyttää ns. suolattua sha1 hashausta jolloin listoista ei ole juuri hyötyä. Heikkokaan salasana ei aukea kovin nopeasti.

Noita puretaan käytännössä testaamalla useita vaihtoehtoja ja millä tulee sama niin on oikea. Päälekkäisyyksien takia löytyy useita salasanoja jotka tuottaa saman hashin.

Ilmeisesti noi oli saatu phpBBn haavoittuvuuksien kautta ongittua (ja vissiin MySQLn)

[Surferbird]

Siispä päivittämään SMF uusimpaan versioon jos on vanhoja verssuja käytössä niin max turvallisuus ainakin on käytössä

[Tapsa2]

Tuossa pari hyödyllistä linkkiä riisuttuihin, turvallisiin listoihin.
Toisessa linkissä ruutu johon kirjoittamalla tunnuksensa saa nopeasti tarkistettua onko oma tunnus kenties listalla.

http://www.pelulamu.net/vuoto/

[mrl586]

Ilmeisesti noi oli saatu phpBBn haavoittuvuuksien kautta ongittua (ja vissiin MySQLn)

Mää veikkaan, että haavoittuvuus on SMF:ssä, eikä phpBB:ssä.

[Surferbird]

Toivottavasti smf tekijät tutkivat asiaa?

[niko]

Ilmeisesti noi oli saatu phpBBn haavoittuvuuksien kautta ongittua (ja vissiin MySQLn)

Mää veikkaan, että haavoittuvuus on SMF:ssä, eikä phpBB:ssä.

Voi olla. Mutta ota huomioon että jotkut vaa asentaa, eikä enää sen jälkeen päivitä ollenkaan.

[Onni]

Tuossa pari hyödyllistä linkkiä riisuttuihin, turvallisiin listoihin.
Toisessa linkissä ruutu johon kirjoittamalla tunnuksensa saa nopeasti tarkistettua onko oma tunnus kenties listalla.

http://www.pelulamu.net/vuoto/

Tuo ensimmäinen linkki vei jonnekkin Goatse-sivustolle...

[niko]

Tuossa pari hyödyllistä linkkiä riisuttuihin, turvallisiin listoihin.
Toisessa linkissä ruutu johon kirjoittamalla tunnuksensa saa nopeasti tarkistettua onko oma tunnus kenties listalla.

http://www.pelulamu.net/vuoto/

Tuo ensimmäinen linkki vei jonnekkin Goatse-sivustolle...

Poistin linkin

[Tapsa2]

Tuossa pari hyödyllistä linkkiä riisuttuihin, turvallisiin listoihin.
Toisessa linkissä ruutu johon kirjoittamalla tunnuksensa saa nopeasti tarkistettua onko oma tunnus kenties listalla.

http://www.pelulamu.net/vuoto/

Tuo ensimmäinen linkki vei jonnekkin Goatse-sivustolle...

Poistin linkin

Jaahas, oli näköjään linkki muuttunut.
Se oli tänään poistettu myös Mbnetin sivuilta mistä sen bongasin.

[Aleksi "Lex" Kilpinen]

Ilmeisesti noi oli saatu phpBBn haavoittuvuuksien kautta ongittua (ja vissiin MySQLn)

Mää veikkaan, että haavoittuvuus on SMF:ssä, eikä phpBB:ssä.

Voi olla. Mutta ota huomioon että jotkut vaa asentaa, eikä enää sen jälkeen päivitä ollenkaan.

Mulla on kopio tuosta alkuperäisestä listasta, eikä siinä mainittu SMF:ää mitenkään,
eikä kyllä CERT-Fikään alkuun SMF:ää edes maininnut, vaan eritoten PHPBB:n. SMF lisättiin riskiryhmään jälkikäteen. Seurattiin tuota uutisointia silloin melko tarkkaan, kun meillä oli sillä hetkellä käyttäjiä rekisterissä noin 6000.

Lisäksi tilannepäivitys asiasta:

Salasanatiedostotapaus - tilannepäivitys 19.10.

On käynyt ilmi, että osa salasanatiedostotapauksen alkuvaiheessa julkisuuteen toimittamistamme hyödynnettyjä haavoittuvuuksia koskevista tiedoista oli puutteellisia tai jopa virheellisiä. Tapauksen tutkinnan myöhemmässä vaiheessa on osoittautunut, että aikaisemmin luultua useammassa tapauksessa on hyödynnetty muita kuin järjestelmän pohjana olevassa web-foorumisovelluksessa (CERT-FI:n mainitsemat phpBB, Wordpress, SMF) olleita haavoittuvuuksia. Useissa murtotapauksissa on mitä ilmeisimmin hyödynnetty ylläpitäjien itse kehittämissä lisäkomponenteissa tai kolmannen osapuolen tuottamissa komponenteissa olleita käyttäjän antaman syötteen puutteelliseen tarkistukseen liittyviä haavoittuvuuksia

http://www.cert.fi/tietoturvanyt/2007/10/P_20.html

Ihan vain puolustaakseni SMF:ää.