Login
Login-Name Passwort


 
Newsletter
Werbung

Mi, 9. Januar 2013, 08:25

Gemeinschaft

Python-Wiki kompromittiert

Das Wiki des Python-Projektes hatte einen Einbruch zu verzeichnen, der auf der gleichen Sicherheitslücke beruhte wie beim Einbruch im Debian-Wiki. Auch hier waren offenbar die Passwort-Hashes der Benutzer das Ziel der Einbrecher.

Mirko Lindner

Das Python-Wiki läuft mit der Wiki-Software MoinMoin, die selbst in Python geschrieben ist. Ende Dezember wurde eine Sicherheitslücke in MoinMoin entdeckt und behoben. Am 28. Dezember, noch vor dem Bekanntwerden dieser Sicherheitslücke, fand ein Einbruch in das Python-Wiki statt, bei dem die Einbrecher sich als Benutzer »moin« einloggen konnten. Wie beim Einbruch im Debian-Wiki konnten die Einbrecher dadurch eine Liste der E-Mails und Passwort-Hashes aller Benutzer auslesen. Sie konnten jedoch keine Systemdateien manipulieren und keine anderen Rechner kompromittieren.

Wie die Betreiber des Wikis schreiben, löschten die Einbrecher wenig später die Wiki-Inhalte, was zur Entdeckung des Einbruchs führte. Die Administratoren nahmen den Wiki-Server vom Netz und sind zur Zeit noch dabei, das Wiki neu aufzusetzen. Die Python Software Foundation fordert alle Benutzer auf, ihre Passwörter zu ändern, falls sie dasselbe Passwort wie im Python-Wiki auch anderswo verwenden. Denn die Einbrecher könnten versuchen, aus den Passwort-Hashes die Passwörter zurückzugewinnen. Zwar ist die Erfolgschance für starke Passwörter verschwindend gering, aber Passwörter, die sich lediglich aus Wörtern, die in Wortlisten zu finden sind, und Ziffern zusammensetzen, könnten binnen Tagen oder Wochen herausgefunden werden.

Aufgrund der weiten Verbreitung von MoinMoin ist zu erwarten, dass es zu weiteren Einbrüchen kommen wird oder gekommen ist. Zum Glück für viele Server-Betreiber sind jedoch nur die Versionen 1.9.3 bis 1.9.5 betroffen, ältere Versionen wie 1.8 nicht. Jedoch wird der Einsatz der Version 1.8 nicht mehr empfohlen, stattdessen sollte Version 1.9.6 verwendet werden.

Werbung
Pro-Linux
Pro-Linux @Facebook
Neue Nachrichten
Werbung