Разработчики свободного игрового движка Luanti, позволяющего создавать игры в стиле Minecraft, объявили об инциденте, в результате которого атакующие получили доступ к серверу проекта, обслуживающему каталог content.luanti.org, через который производится загрузка модов, игр, дополнений, текстур и прочих ресурсов в экосистеме Luanti. В руки атакующих попали персональные данные, IP-адреса и хэши паролей (bcrypt) зарегистрированных пользователей. Атакующие также имели возможность вносить изменения в пакеты, распространяемые через каталог ContentDB.

Доступ был получен через эксплуатацию двух уязвимостей, одна из которых была в стороннем открытом проекте. Детали пока не раскрываются, но в репозиторий платформы ContentDB в последние несколько дней были добавлены изменения, блокирующие формирование релизов из Git и устраняющие уязвимость, связанную с выставлением символических ссылок на внешние каталоги при выполнении операции «git clone». Также в репозитории запрещён внешний доступ к API celery-exporter через сетевые порты 5125 и 9540 и удалён присутствующий в коде URL с прошитым идентификатором для системы мониторинга Grafana.

Первые следы несанкционированной активности зафиксированы 22 октября в 16:00 (MSK) — атакующие подучили доступ к внутренней конфигурации платформы и смогли подключиться под учётной записью одного из администраторов, позволяющей вносить изменения в загруженный контент. 26 октября в 3:15 (MSK) атакующие смогли получить полный доступ к системе внутри docker-контейнера и к СУБД проекта.

26 октября в 12:00 (MSK) взлом был обнаружен, работа сервиса ContentDB остановлена, а все токены для доступа к GitHub (OAuth) и API отозваны. Сверка содержимого каталога с данными из резервной копии не выявила модификации пакетов, но целостность пакетов, загруженных в каталог с 22 по 26 октября не гарантируется. В настоящее время сервис ContentDB отключён и будет возвращён в строй не раньше чем через неделю.

Источник: http://www.opennet.ru/opennews/art.shtml?num=66563