Всем использующим Fedora, ASPLinux, Linux XP, Red Flag Linux, MeeGo, Fox Linux, BLAG Linux and GNU, Planet CCRMA, Linpus, Mythdora, Amahi Home Server, Russian Fedora Remix, немедленно поменять дистрибутив в связи с компрометацией исходных текстов Fedora и внедрение злонамеренного кода в репозитарии: RPM Fusion, Livna, RPMforge, PlanetCCRMA, ATrpms, JPackage, kde-redhat, Dribble, Fedora-Xgl, RussianFedora, Tigro. Пользователям Red Hat с большой осторожностью подходить к добавлению новых технологий протестированных сообществом Fedora.
ыы
]]>Поверхностная проверка показала, что злоумышленники не вышли за пределы скомпрометированного аккаунта и не воспользовались функциями формирования сборок и обновлений. Тем не менее, мейнтейнерам пакетов рекомендовано регулярно анализировать журналы внесения изменений в пакеты и информировать администрацию (admin@fedoraproject.org) о любой подозрительной активности. Участникам проекта при доступе к инфраструктуре Fedora настоятельно рекомендуется использовать надежные пароли и не применять эти же пароли в других проектах, особенно на web-сайтах не использующих шифрование.
Проникновение злоумышленника было выявлено после обращения одного из разработчиков, обеспокоенного получением системного письма с уведомлением об изменении параметров аккаунта. Администраторы проекта немедленно приступили к разбору ситуации и выяснили, что действительно под аккаунтом обратившегося пользователя были осуществлены факты входа постороннего лица.
Скомпрометированный аккаунт не входил в группу системных администраторов и команды по подготовке релизов, но обладал следующими привилегиями:
Возможность входа на серверы fedorapeople.org и pkgs.fedoraproject.org с правами непривилегированного пользователя;
Доступ к помещению новых пакетов в систему управления исходными текстами Fedora;
Право на выполнение сборки пакетов и формирования обновления к ним.
В ближайшее время администраторами проекта будет проведет детальный анализ инцидента и выполнен дополнительный аудит безопасности серверов. Из уже проведенных мероприятий отмечается выполнение следующих действий:
Блокирование скомпрометированного аккаунта;
Создание снапшотов всех файловых систем на серверах на которых присутствовал взломанный аккаунт;
Аудит логов SSH, FAS, Git и Koji показал, что злоумышленник сменил SSH-ключ аккаунта и вошел на сервер fedorapeople.org, но не пытался поместить изменения в систему управления исходными текстами Fedora, не входил на сервер pkgs.fedoraproject.org, не генерировал koji-сертификат, не выполнял сборки пакетов и не формировал обновления пакетов (примечание: или умело замел следы, чтобы создать иллюзию неудавшегося взлома);