La célèbre liste Full-Disclosure a été piratée

Dans la catégorie (très vaste) « Les cordonniers ont parfois des chaussures avec des petits trous», ce mois-ci : la liste Full-Disclosure.

Rappelons la liste Full Disclosure annonce et décrit les failles de sécurité trouvées ici et là. Or... le serveur de la liste en question a justement été victime d’une attaque le 2 janvier mais qui n'aurait été découverte que cette semaine par les responsables.

L'assaut a été possible grâce à un bug alors inconnu dans Mailman (voir encore ici), le logiciel de gestion de cette mailing list.

« L’adresse email des abonnés et les mots de passes ont été compromis. Tous les membres de la liste ont été avertis de changer immédiatement leur mot de passe » annonce un message d'alerte.

La vulnérabilité concerne spécialement Mailman 2.1.5. Elle permet à un attaquant d'obtenir des fichiers sur un serveur web en exploitant la faille à l’aide de symboles slash superflus. Les dégats pourraient être plus importants puisque ce gestionnaire est très populaire. La version 2.1.6 du logiciel n’est heureusement pas sensible à cette attaque.

Avec une liste fréquentée par de nombreux spécialistes, des responsables et autres experts en sécurité informatique, cette annonce signifie donc que ces données confidentielles d'identification sont peut être encore aujourd’hui dans les mains d’un ou plusieurs pirates...