Zástupci projektu Xubuntu potvrdili, že web projektu byl v říjnu úspěšně napaden a místo torrentových souborů nabízel uživatelům ke stažení škodlivý soubor ZIP. Útočník se dostal k přístupu pomocí útoku hrubou silou na zranitelnou součást instalace WordPressu, kterou Canonical spravuje pro tým,
vysvětluje Elizabeth K. Josephová v e-mailové konferenci. Jakmile získal útočník přístup, mohl vložit kód, který změnil odkazy ke stažení.
Kompromitace byla poprvé oznámena 15. října a krátce poté byly upozorněny infrastrukturní a bezpečnostní týmy společnosti Canonical. Web byl okamžitě uzavřen, stránka pro stahování deaktivována a bylo zahájeno vyšetřování. Tým v následujících čtyřech dnes pracoval na identifikaci metody použité k získání neoprávněného přístupu, odstranění veškerého škodlivého kódu a vložených souborů, vrácení postižených stránek do ověřeného čistého stavu a zabezpečení instance WordPressu proti dalšímu vniknutí.
Útok ovlivnil pouze webovou stránku Xubuntu.org a torrentové odkazy, které jsou na ní uvedeny. Pokud jste si během tohoto období stáhli nebo otevřeli soubor s názvem Xubuntu-Safe-Download.zip ze stránky pro stahování Xubuntu, měli byste předpokládat, že se jednalo o škodlivý soubor. Pokud jste stahovali instalační obrazy z oficiálních zrcadel nebo už provozujete nějakou verzi Xubuntu, nejste ohroženi.
Podle zástupců projektu se jedná o závažné porušení důvěry a všichni členové týmu Xubuntu se omlouvají za způsobené problémy. Vzali jsme to velmi vážně a podrobně jsme prozkoumali, jak spravujeme své online systémy a jaké kroky můžeme jako tým podniknout, abychom podobným situacím v budoucnu předešli,
píše Josephová.
Bylo také rozhodnuto, že web projektu přejde z WordPressu na Hugo, což je generátor statických stránek, který zcela eliminuje tento typ útoku. Přechod na generátor statických stránek se vlastně připravoval již delší dobu, protože naše závislost na dynamických funkcích WordPressu se snížila, ale tato situace donutila tým k jeho dokončení.
Změna už proběhla, podle zdrojového kódu je web vygenerován pomocí nástroje Hugo.
