Утечка данных Grails Forum
Утечка данных Grails Forum в ноябре 2019 года произошла, когда злоумышленники получили несанкционированный доступ к GrailsForum (grailsforum.co.uk), ведущему сообществу для обсуждений и технической поддержки, посвящённому фреймворку Grails для веб-приложений на основе Groovy и Java.
Типы раскрытых данных
4- Адреса электронной почты
- Имена пользователей
- Пароли
- IP-адреса
Об этой утечке
Злоумышленник воспользовался критической уязвимостью vBulletin, позволяющей удалённо выполнять код до аутентификации и описанной под идентификатором CVE-2019-16759, чтобы выгрузить всю базу данных участников.
Какие данные затронул инцидент с Grails Forum?
Выгрузка скомпрометированной базы данных vBulletin (grailsforum.co.uk._november2019_vB_88834.csv) содержит полные профили учётных записей разработчиков со всего мира. В результате инцидента были скомпрометированы записи 88 118 уникальных инженеров-программистов и разработчиков и раскрыты следующие сведения:
- Идентификаторы учётных записей: Имена пользователей в сообществе.
- Контактные данные: Проверенные адреса электронной почты в каноническом формате.
- Данные аутентификации: Хеши паролей MD5 с солью и соответствующие строки соли.
- Сетевая телеметрия: IP-адреса пользователей, зафиксированные при регистрации и использовании форума.
Сколько учётных записей затронул инцидент?
Строгая проверка канонических адресов на соответствие RFC и удаление дубликатов подтвердили наличие 88 118 уникальных проверенных адресов электронной почты среди 88 834 записей в таблице пользователей.
Технический анализ и риски безопасности
Взлом был осуществлён с помощью эксплойта, использующего уязвимость CVE-2019-16759 в программном обеспечении форума vBulletin. Поскольку основную часть пользователей составляли инженеры-программисты и ИТ-специалисты, скомпрометированные данные аутентификации создают серьёзную угрозу автоматизированных атак методом подстановки учётных данных, направленных на репозитории кода (GitHub, GitLab, Bitbucket), конвейеры CI/CD и порталы администрирования облачных сервисов.
Рекомендации пользователям, затронутым утечкой
Разработчикам, у которых были учётные записи на GrailsForum, следует:
- Немедленно сменить пароли во всех учётных записях сервисов для разработки, электронной почты и инфраструктуры, в которых используется тот же пароль, что и на форуме.
- Во всех репозиториях кода настроить использование аппаратных ключей безопасности (FIDO2/WebAuthn) или аутентификаторов, генерирующих одноразовые пароли на основе времени (TOTP).
- Проверять авторизованные приложения OAuth и ключи SSH в сервисах для разработчиков на наличие аномалий.
Методика проверки и подготовки материалов
LeakData сверяет название инцидента, дату, число затронутых записей и типы раскрытых данных с доступными источниками. Неподтверждённые сведения не представляются как факты, а записи обновляются при появлении новых подтверждающих данных.
Сообщить о недостающих или неверных сведениях
