Xubuntu révèle la compromission de son site de téléchargement en octobre

Xubuntu confirme qu'un ZIP malveillant a été distribué en octobre et passe au générateur de site statique Hugo pour prévenir des attaques similaires.

Xubuntu a publié un post-mortem détaillé décrivant la compromission d'octobre de la page de téléchargement de son site Web, où le bouton de téléchargement de l'ISO a brièvement servi un fichier ZIP malveillant au lieu de l'image d'installation attendue.

L'incident a commencé le 15 octobre, lorsque les visiteurs cliquant sur le bouton principal « Télécharger » sur Xubuntu.org ont été redirigés vers un fichier nommé « Xubuntu-Safe-Download.zip ». L'archive était malveillante.

Il est important de souligner que rien sur cdimages.ubuntu.com, les dépôts officiels d'Ubuntu ou le réseau de miroirs n'a été affecté, et les installations existantes de Xubuntu n'ont jamais été en danger.

Selon l'analyse postmortem du projet, l'attaque a été rendue possible après qu'un acteur malveillant ait forcé par force brute un composant vulnérable de l'instance WordPress que Canonical maintient pour l'équipe Xubuntu.

Une fois à l'intérieur, l'attaquant a injecté du code qui a remplacé le lien de téléchargement ISO légitime par le fichier ZIP malveillant. La compromission a été rapidement signalée, ce qui a poussé les équipes d'infrastructure et de sécurité de Canonical à sécuriser le site et à désactiver la page de téléchargement.

Entre le 15 et le 19 octobre, Canonical et l'équipe Xubuntu ont identifié la méthode d'intrusion, supprimé tout code injecté et restauré les pages affectées à partir de copies vérifiées et saines.

De plus, l'installation de WordPress a été renforcée et placée en état de lecture seule contrôlée pendant que l'équipe lançait une migration permanente hors de la plateforme.

Xubuntu confirme que seul le bouton de téléchargement du site web a été manipulé. La distribution principale, les systèmes de compilation, les paquets et l'hébergement officiel des images Ubuntu sont restés intacts.

Les utilisateurs qui ont téléchargé le fichier « Xubuntu-Safe-Download.zip » pendant cette période sont invités à le supprimer immédiatement et à effectuer une analyse du système à l'aide d'un antivirus ou d'un outil anti-malware fiable.

En réponse à l'incident, l'équipe finalise une transition prévue vers Hugo, un générateur de site statique qui supprime la surface d'attaque dynamique qu'exposait WordPress.

La migration était en cours depuis un certain temps, mais la faille d'octobre en a accéléré l'achèvement. Une fois déployé, le nouveau site statique éliminera le type de chemin d'exploitation utilisé dans cette compromission.

Pour plus d'informations, consultez l'annonce officielle sur la liste de diffusion d'Ubuntu.