Xubuntu révèle une compromission de son site de téléchargement en octobre
Xubuntu confirme qu'un ZIP malveillant a été diffusé en octobre et passe au générateur de site statique Hugo pour prévenir des attaques similaires.
Xubuntu a publié un compte rendu détaillé décrivant la compromission en octobre de la page de téléchargement de son site Web, où le bouton de téléchargement de l’ISO a brièvement servi un fichier ZIP malveillant au lieu de l’image d’installation attendue.
L'incident a commencé le 15 octobre, lorsque les visiteurs cliquant sur le bouton principal « Télécharger » sur Xubuntu.org ont été redirigés vers un fichier nommé « Xubuntu-Safe-Download.zip ». L'archive était malveillante.
Il est important de souligner qu'aucune donnée sur cdimages.ubuntu.com, les dépôts officiels d'Ubuntu ou le réseau de miroirs n'a été affectée, et les installations existantes de Xubuntu n'ont jamais été en danger.
Selon le post-mortem du projet, l'attaque a été rendue possible après qu'un acteur malveillant ait forcé par force brute un composant vulnérable dans l'instance WordPress que Canonical maintient pour l'équipe Xubuntu.
Une fois à l'intérieur, l'attaquant a injecté du code qui a remplacé le lien de téléchargement ISO légitime par le fichier ZIP malveillant. La compromission a été rapidement signalée, ce qui a poussé les équipes d'infrastructure et de sécurité de Canonical à sécuriser le site et à désactiver la page de téléchargement.
Entre le 15 et le 19 octobre, Canonical et l'équipe Xubuntu ont identifié la méthode d'intrusion, supprimé tout le code injecté et restauré les pages affectées à partir de versions propres et vérifiées.
De plus, l'installation de WordPress a été renforcée et placée dans un état en lecture seule contrôlé pendant que l'équipe initiée une migration permanente hors de la plateforme.
Xubuntu confirme que seul le bouton de téléchargement du site web a été manipulé. La distribution principale, les systèmes de construction, les paquets et l'hébergement des images officielles d'Ubuntu sont restés intacts.
Les utilisateurs qui ont téléchargé le fichier « Xubuntu-Safe-Download.zip » pendant cette période sont invités à le supprimer immédiatement et à effectuer une analyse du système à l’aide d’un antivirus ou d’un outil anti-malware fiable.
En réponse à l'incident, l'équipe finalise une transition prévue vers Hugo, un générateur de sites statiques qui élimine la surface d'attaque dynamique exposée par WordPress.
La migration était en cours depuis un certain temps, mais la faille d'octobre en a accéléré l'achèvement. Une fois déployé, le nouveau site statique éliminera le type de vecteur d'exploitation utilisé dans cette compromission.
Pour plus d’informations, consultez l’annonce officielle sur la liste de diffusion d’Ubuntu.