Fuite de données chez Grails Forum
La fuite de données de Grails Forum de novembre 2019 est survenue lorsque des acteurs malveillants ont pénétré sans autorisation dans GrailsForum (grailsforum.co.uk), la principale communauté de discussion et d’assistance technique consacrée au framework d’applications web Grails, fondé sur Groovy et Java.
Types de données exposées
4- Adresses e-mail
- Noms d’utilisateur
- Mots de passe
- Adresses IP
À propos de cette fuite de données
L’intrus a exploité la vulnérabilité critique d’exécution de code à distance avant authentification de vBulletin, répertoriée sous la référence CVE-2019-16759, pour extraire l’intégralité de la base de données des membres.
Quelles informations ont été touchées lors de l’incident de Grails Forum ?
L’export de la base de données vBulletin compromise (grailsforum.co.uk._november2019_vB_88834.csv) contient les profils de compte complets de développeurs du monde entier. L’incident a compromis les données de 88 118 ingénieurs logiciels et développeurs distincts, exposant les informations suivantes :
- Identifiants de compte : Noms d’utilisateur au sein de la communauté.
- Coordonnées : Adresses e-mail canoniques vérifiées.
- Données d’authentification : Empreintes MD5 salées des mots de passe et chaînes de sel associées.
- Télémétrie réseau : Adresses IP des utilisateurs enregistrées lors de leur inscription et de leur activité.
Combien de comptes ont été touchés ?
Une validation canonique stricte conforme aux RFC et une déduplication ont confirmé la présence de 88 118 adresses e-mail uniques et vérifiées parmi les 88 834 enregistrements de la table des utilisateurs.
Analyse technique et risques de sécurité
L’intrusion a reposé sur l’exploitation à des fins offensives de la vulnérabilité CVE-2019-16759 du logiciel de forum vBulletin. Les ingénieurs logiciels et les professionnels de la technologie constituant l’essentiel des utilisateurs, les identifiants compromis présentent un risque élevé d’attaques automatisées par réutilisation d’identifiants visant les dépôts de code (GitHub, GitLab, Bitbucket), les pipelines CI/CD et les portails d’administration cloud.
Mesures recommandées aux utilisateurs concernés
Les développeurs qui disposaient d’un compte sur GrailsForum devraient :
- Changer immédiatement les mots de passe de tous les comptes de développement, de messagerie ou d’infrastructure qui utilisent le même mot de passe que celui du forum.
- Mettre en place des clés de sécurité matérielles (FIDO2/WebAuthn) ou des dispositifs d’authentification par mot de passe à usage unique fondé sur le temps (TOTP) sur tous les dépôts de code.
- Surveiller les applications OAuth autorisées et les clés SSH sur les services destinés aux développeurs afin de détecter d’éventuelles anomalies.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
