Horde Groupware obsahuje backdoor

Neznámým útočníkům se podařilo infiltrovat FTP server projektu Horde a umístit backdoor do instalačních souborů Horde 3.3.12, Horde Groupware 1.2.10 a Horde Groupware Webmail Edition 1.2.10. Horde 4 ani žádné jiné verze, včetně těch v CVS a Git repozitářích, kompromitovány nebyly.

14.2.2012 16:54 | Migi | Bezpečnostní upozornění

Komentáře

[pepe_]

No to je hezký ...

[GR]

A co podpisy? A kontrolní součty? Neříkejte, že to nikdo z těch, co stahují tak důležitý soft, nekontroluje.

[Sten]

Kdo kontroluje podpisy, většinou instaluje z repozitářů (protože tam je kontroluje balíčkovací software automaticky), které kompromitovány nebyly.

[l4m4]

Podpisy tarballů ale mají kontrolovat distribuce. Kvůli nim především podepisuji všechny tarbally, protože by měly automatické ověřování dokázat integrovat do build systému, od invidivuálních stahujících uživatelů kontrolu nečekám...

[Kaacz]

DistribucE ? Proc mnozny tvar ? Kolik silenych distribuci (krome Gentoo) vsechno preklada z tarbalu ? Naopak vsechna distra pocitaji s tarbalem jako silenosti admina a nechaji to na jeho zodpovednosti. At si sam zkontroluje checksum nez tarbal pouzije. Protoze tarbal u drtive vetsiny dister neni standardni zdroj. Tak proc proboha neco kolem nej automatizovat.

[pavlix]

Proč mi přijde, že to, co píšeš nemá hlavu ani patu.

Pokud vím, tak kontrola tarballů probíhá ve všech distribucích prakticky stejně jako v gentoo. Při tvorbě ebuildu/specfile/whatever má maintainer možnost ručně zkontrolovat archiv (buď to udělá nebo ne), a od té doby se pro buildy používá hash stvrzený maintainerem.

Jestli se balíčky buildují lokálně nebo je to outsourcováno na servery distributora, už je jen nepodstatný detail.

Samozřejmě v některých distribucích může tahle vlastnost chybět.

[NN]

FTP server ? V teto dobe ? So lame ..

NN

[jos]

eh, to jako "nevěřte protokolům kterým je přes dvacet"?

[Bystroushaak]

Spíš těm nešifrovaným.

[Lol Phirae]

http://cs.wikipedia.org/wiki/FTPS

[Bystroushaak]

Samozřejmě znám (i když osobně preferuji SFTP, kde můžu používat SSH klíče), já jen že řeč byla o čistém FTP..