Ubuntuサーバが乗っ取り被害に

Ubuntuホスティングサーバが何者かに乗っ取られ、攻撃に利用された。コミュニティーは復旧作業を進めているが、アプリケーションは破棄しなければならない。

[Lisa Vaas，eWEEK]

　Ubuntuコミュニティーは8月6日、Canonicalが援助しているUbuntuホスティングサーバが乗っ取られ、ほかのマシンを攻撃していることに気づき、サーバ8台のうち5台をオフラインにせざるを得なくなった。

　14日のUbuntuコロケーションチームのIRC（インターネットリレーチャット）会議では、この問題の原因が、「長期にわたるとみられる」ブルートフォース攻撃でUbuntuサーバにログインしようとしていた中国のIPアドレスだった可能性が示唆されたと、会議の参加者は言う。

　この日、Ubuntuコミュニティーはデータを回復できるようにサーバを安全な状態で復旧する作業を開始した。残念ながら、コミュニティー管理者ジョノ・ベーコン氏によると、これらサーバはいずれもバージョンが古く、Webソフトが多数詰め込まれており、セキュリティパッチが当てられていない――少なくとも、どのバージョンを走らせているか容易に分かるインスタンスでは――ことが分かった。

　「攻撃者は、これらサイトのほとんどからシェルを入手できただろう」とベーコン氏はこの事件によるロケーションサーバポリシーの変更についての投稿で述べている。

　「FTP（sftpではなく、SSLなしの）がサーバへのアクセスに使われていた。だから攻撃者は（うまくやれば）平文パスワードを調べてアクセスすることもできたかもしれない」と同氏は述べている。また「サーバはネットワークカードの問題、その後はカーネルの問題のためにアップグレードされていなかった。おそらくこのため、攻撃者がroot権限を取得できたのだろう」

　サーバの復旧は、管理者たちが望んでいたよりも長時間かかったとベーコン氏は言う。世界中に広がったメンバーの支援に頼っていたことを考えると、「こうした遠方からの支援にははっきりしない限界がある」上に、サーバからデータをコピーするのに利用できる「帯域も（比較的）少なかった」と同氏は記している。

　14日のIRC会議で、コロケーションチームはCanonicalのデータセンターへの移行か、ホスティングあるいはアウトソーシングサービスを利用し続けるかの選択肢を提示された。Canonicalは個人および企業のオープンソースソフト利用者にサービスを提供している英国の企業。

　Canonicalのデータセンターへの移行には、ハードや帯域の向上、Canonicalのシステム管理チームによるフルタイムのサポート（ソフトのメンテナンスも含む）、Ubuntuの既存のバックアップインフラとの統合などのメリットがある。

　Ubuntuディストリビューションを支援するCanonicalへの移行に伴い、コミュニティーが対処しなければならないデメリットとしては、サポートするソフトが減ることが挙げられる。WikiエンジンのMoinMoin、ブログプラットフォームのWordPress、UbuntuコミュニティーフォーラムPlanetがサポートされなくなる。

　14日の時点ではまだ移行は不確定で、コロケーションチームのリーダーらは支援を求めていた。「まずは今日index.htmlファイルをubuntu-fi.orgに置けたらうれしいのだけど。できたらMoinMoinも」とある参加者はIRC会議で話した。「わたしが求めたいのは忍耐だ。今回のようなサービス停止が多くの人を心配させることは理解している」とこの人物は述べ、サービス復旧に対して不安がある人は#canonical-sysadminチャネルにアクセスするよう求め、最初に回答できるシステム管理者がリクエストに応えるようにと頼んだ。

　その間、データが失われることはないが、侵入後で実行可能コードを信用できないため、アプリケーションは破棄しなければならない。

　「今回の侵入の性質から考えて、古いサイトのあらゆる種類のすべての実行可能コードが危険だという前提に立たなくてはならない」とIRC会議のリーダーは言う。「データはあるが、実行可能コード（Python、PHP、Perl、CGIなど）は入れ替える必要がある」

原文へのリンク