Het Joomla-team heeft een beveiligingsinbreuk aangekondigd die is veroorzaakt door een niet-versleutelde back-up

De ontwikkelaars die Joomla runnen, een open-sourceproject en een van de populairste contentbeheersystemen ter wereld, hebben vorige week een datalek gemeld. Een nu voormalig lid van het team heeft een back-up van de volledige Joomla Resources Directory-website geüpload naar een onbeschermde Amazon Web Service (AWS) S3-bucket. Inbegrepen in de back-up waren de gegevens van ongeveer 2700 geregistreerde gebruikers. Het Joomla-team besloot de bres niet onder het tapijt te vegen en het incident werd beschreven in een vrij gedetailleerde melding. Sommigen denken misschien dat dit een vreemde beslissing is.

De meeste blootgestelde gegevens waren hoe dan ook openbaar toegankelijk

De meeste getroffen accounts zijn eigendom van ontwikkelaars die de website gebruiken om hun vaardigheden en diensten te adverteren. De blootgestelde details omvatten namen, e-mailadressen, fysieke adressen, telefoonnummers, websites van bedrijven, voorkeuren voor nieuwsbriefabonnementen, IP-adressen en gehashte wachtwoorden. Alles behalve de wachtwoorden was in platte tekst en de hele back-up was niet versleuteld.

Dit is een slechte zaak, maar het moet gezegd dat de betrokken gebruikers zich niet zoveel zorgen hoeven te maken. De meeste informatie was sowieso openbaar toegankelijk, dus hoewel er geen informatie is over het feit of iemand toegang heeft gehad tot de blootgestelde back-up, is de potentiële impact van dit specifieke datalek vrij laag.

De slechte back-upbehandeling ziet er niet goed uit

Ondanks de relatief lage ernst van de inbreuk, lijkt het Joomla-team het incident serieus te nemen. En dat zouden ze ook moeten doen.

Zoals ZDNet opmerkte, was Joomla tot voor kort het op één na populairste contentbeheersysteem ter wereld, en hoewel het lang niet zo groot is als WordPress, bedraagt het aantal websites dat erop is gebaseerd meer dan 2 miljoen. De verantwoordelijkheid voor de mensen die het project uitvoeren is behoorlijk groot en het is gewoon niet acceptabel om ongecodeerde back-ups te laten lekken.

Gelukkig werd de inbreuk gevolgd door een beveiligingsaudit en verzekert het team ons dat een aantal wijzigingen in het beleid en de procedures zijn doorgevoerd. Het is absoluut een beter-laat-dan-nooit-situatie en we hopen dat de ontwikkelaars van andere projecten van deze omvang zullen leren van de fouten van Joomla en de nodige voorzorgsmaatregelen zullen nemen voordat er gegevens worden vrijgegeven.