Storia dei sistemi informatici al GOLEM: differenze tra le versioni
Creata pagina con "= 2021 = == Incidente di Strasburgo == Mentre era in corso la migrazione dei servizi GOLEM verso un'architettura a microservizi basata su container, è avvenuto un grave [http..." |
m Aggiornamenti su varî incidenti, a memoria futura, e per formalizzare una strategia di gestione |
||
| (Una versione intermedia di uno stesso utente non è mostrata) | |||
| Riga 14: | Riga 14: | ||
Un socio ha messo temporaneamente a disposizione un server per gestire la zona DNS. | Un socio ha messo temporaneamente a disposizione un server per gestire la zona DNS. | ||
[[Category: | = 2022 = | ||
== Link spamming == | |||
In data 21 gennaio, è stato rilevato che c'era stato un accesso non autorizzato al blog Wordpress, tramite un account con permessi di editor, presumibilmente con password d'accesso debole. | |||
Diversi articoli sul blog sono stati modificati con l'inserimento di link di spam nascosti. | |||
Azioni intraprese: | |||
* ripristino password | |||
* ripristino contenuto originale degli articoli per mezzo del versioning di Wordpress | |||
= 2026 = | |||
== Compromissione di git.golem.linux.it == | |||
[https://git.golem.linux.it git.golem.linux.it] (istanza di gitea) è stato compromesso. | |||
Timeline: | |||
* 12 agosto 2026, ore 13:42: compromissione grazie alla vulnerabilità CVE-2026-60004; lo sfruttamento della vulnerabilità aggiunge un git hook al file di configurazione di gitea; recuperato il momento della compromissione dall'ora di modifica del file. | |||
* rilevato incidente il 16 agosto 2026, ore 14:39: il nuovo hook di gitea causava rallentamenti anomali e occasionali problemi nell'esecuzione di <code>git clone</code>; il servizio è stato spento. | |||
* analisi della compromissione: in evidenza: installato software cryptominer; l'installazione non sembra aver funzionato. Non ci sono segni evidenti che siano stati esfiltrati dati. | |||
La patch per gitea era stata rilasciata in data 27 luglio, ma non era ancora stata installata. | |||
* ripristino del servizio: ripristinato tramite backup del 7 agosto | |||
* altre operazioni: non è possibile escludere del tutto che siano stati copiati segreti, anche se è improbabile. Tuttavia, in via del tutto precauzionale, sono state intraprese anche le seguenti azioni: | |||
** invalidate credenziali di accesso | |||
** rigenerate chiavi SSH del server git | |||
** invitati utenti di gitea a rigenerare eventuali token segreti | |||
Comunicazione agli utenti: [https://lists.linux.it/pipermail/golem/2026-August/015629.html] | |||
[[Category:Sysop]] | |||
Versione attuale delle 11:36, 3 nov 2026
2021
Incidente di Strasburgo
Mentre era in corso la migrazione dei servizi GOLEM verso un'architettura a microservizi basata su container, è avvenuto un grave incidente presso il datacenter di OVH che ospita il nostro server, per cui tutti i nostri servizi sono risultati inaccessibili per diverse ore, tranne la mailing list e l'email, che sono ospitate, rispettivamente, presso Italian Linux Society e MailBox.org.
Il piano di disaster recovery è stato avviato e ha consentito di recuperare la quasi totalità dei dati perduti.
- Perdite di dati:
- perse donazioni per il progetto Digitale Civile, dalle ore 00:47 alle ore 19:00 del 10 marzo 2021
- perse modifiche a Wordpress e Mediawiki dal 1 marzo 2021 ore 3:15 al 10 marzo 2021 ore 00:47
- Disservizi:
- servizi essenziali ripristinati in poche ore; vedere la cronologia di questa pagina per i tempi di ripristino del resto.
Un socio ha messo temporaneamente a disposizione un server per gestire la zona DNS.
2022
Link spamming
In data 21 gennaio, è stato rilevato che c'era stato un accesso non autorizzato al blog Wordpress, tramite un account con permessi di editor, presumibilmente con password d'accesso debole.
Diversi articoli sul blog sono stati modificati con l'inserimento di link di spam nascosti.
Azioni intraprese:
- ripristino password
- ripristino contenuto originale degli articoli per mezzo del versioning di Wordpress
2026
Compromissione di git.golem.linux.it
git.golem.linux.it (istanza di gitea) è stato compromesso.
Timeline:
- 12 agosto 2026, ore 13:42: compromissione grazie alla vulnerabilità CVE-2026-60004; lo sfruttamento della vulnerabilità aggiunge un git hook al file di configurazione di gitea; recuperato il momento della compromissione dall'ora di modifica del file.
- rilevato incidente il 16 agosto 2026, ore 14:39: il nuovo hook di gitea causava rallentamenti anomali e occasionali problemi nell'esecuzione di
git clone; il servizio è stato spento. - analisi della compromissione: in evidenza: installato software cryptominer; l'installazione non sembra aver funzionato. Non ci sono segni evidenti che siano stati esfiltrati dati.
La patch per gitea era stata rilasciata in data 27 luglio, ma non era ancora stata installata.
- ripristino del servizio: ripristinato tramite backup del 7 agosto
- altre operazioni: non è possibile escludere del tutto che siano stati copiati segreti, anche se è improbabile. Tuttavia, in via del tutto precauzionale, sono state intraprese anche le seguenti azioni:
- invalidate credenziali di accesso
- rigenerate chiavi SSH del server git
- invitati utenti di gitea a rigenerare eventuali token segreti
Comunicazione agli utenti: [1]