GoDaddy envoie des notifications aux clients pour les alerter d'une violation de la sécurité de l'hébergement. GoDaddy décrit la faille de sécurité en termes vagues comme une personne obtenant des informations de connexion qui auraient pu donner au pirate la possibilité de télécharger ou de modifier des fichiers de site Web.
GoDaddy Hosting engagé pour six mois
Selon le ministère de la Justice de Californie, la violation de la sécurité s'est produite le 19 octobre 2019 et a été signalée environ six mois plus tard le 3 mai 2020.
Capture d'écran du site Web du ministère de la Justice de Californie pour les annonces de violation de sécurité.
Violation d'accès SSH
SSH est connu sous le nom de Secure Shell. Il s'agit d'un protocole sécurisé qui est utilisé pour exécuter des commandes sur un serveur et également pour télécharger et modifier des fichiers.
Si un attaquant a un accès SSH à un site Web, le site Web est compromis.
En général, seuls les utilisateurs de niveau administrateur doivent avoir un accès SSH en raison de modifications importantes qui peuvent être apportées aux fichiers principaux d'un site Web.
GoDaddy a annoncé qu'un attaquant inconnu avait compromis certains de ses serveurs.
Déclaration officielle de GoDaddy par e-mail:
"L'enquête a révélé qu'une personne non autorisée avait accès à ses informations de connexion utilisées pour se connecter à SSH sur son compte d'hébergement."
Comment SSH a-t-il été engagé?
Selon GoDaddy, l'engagement sur SSH a commencé en octobre 2019 et a été découvert en avril 2020.
Au-delà de la déclaration générale de la date de la violation et de son lien avec SSH, GoDaddy ne semble pas avoir divulgué d'informations supplémentaires.
- GoDaddy ne dit pas s'il s'agit d'une nouvelle vulnérabilité.
- GoDaddy n'a pas dit si c'était d'une vulnérabilité connue d'octobre 2019 qui n'avait pas été corrigée.
La seule chose que GoDaddy a admis, c'est que les serveurs ont été compromis par un tiers en octobre 2019 et n'ont pas été détectés pendant six mois.
Vulnérabilité SSH en octobre
Une recherche de vulnérabilités SSH montre qu'une vulnérabilité grave a été découverte dans OpenSSH 7.7 à 7.9 et dans toutes les versions d'OpenSSH 8 à 8.1.
La vulnérabilité dans OpenSSH a été corrigée le 10/09/2019 dans la version 8.1. Cette date coïncide avec la date d'octobre 2019 que GoDaddy a confirmée comme la date à laquelle leurs serveurs d'hébergement ont été compromis.
GoDaddy n'a pas confirmé si ce qui précède est la vulnérabilité.
Le rapport est archivé dans le rapport de la base de données nationale sur la vulnérabilité du gouvernement des États-Unis CVE-2019-16905
Mais la vulnérabilité a été découverte et décrite par SecuriTeam où ils ont une divulgation complète.
Voici la description de SecuriTeam:
"Si un attaquant génère un état où" aadlen "+" encrypted_len "est plus grand que INT_MAX, alors il est possible de réussir la vérification …
Toute fonctionnalité OpenSSH qui peut analyser la clé XMSS privée est vulnérable. "
Cela peut signifier que la personne en charge de la maintenance des serveurs GoDaddy n'a pas pu mettre à jour la vulnérabilité et que les serveurs n'ont pas été corrigés jusqu'en avril 2020.
Mais nous n'avons aucun moyen de savoir avec certitude ce qui s'est passé. GoDaddy n'a pas expliqué pourquoi la violation de sécurité n'a pas été détectée pendant six mois.
GoDaddy ignore les détails de l'exploitation
GoDaddy n'a pas dit quelle était la vulnérabilité. GoDaddy n'a pas précisé s'il s'agit d'une nouvelle vulnérabilité ou s'il s'agit de la vulnérabilité d'octobre 2019 décrite ci-dessus.
GoDaddy n'a pas indiqué si des sites avaient modifié leurs fichiers.
Selon un rapport sur Threatpost, cette faille de sécurité a touché 28 000 comptes d'hébergement.
GoDaddy réinitialise les mots de passe
GoDaddy a envoyé un e-mail aux clients concernés pour les informer que leurs mots de passe ont été modifiés. L'e-mail contient un lien vers les procédures à suivre pour réinitialiser le mot de passe.
Combien de sites hébergés sur Godaddy ont piraté?
GoDaddy n'a pas indiqué si un site Web avait été piraté. L'e-mail envoyé aux clients indique que GoDaddy a détecté une "activité suspecte" sur les serveurs de ses clients.
Selon GoDaddy:
"L'enquête a révélé qu'une personne non autorisée avait accès à ses informations de connexion utilisées pour se connecter à SSH sur son compte d'hébergement.
Nous n'avons aucune preuve que des fichiers ont été ajoutés ou modifiés dans votre compte. L'individu non autorisé a été bloqué de nos systèmes, et nous continuons d'enquêter sur l'impact potentiel sur notre environnement. "
Comment les pirates ont-ils pu accéder?
GoDaddy n'a pas fourni d'informations sur la façon dont les pirates ont pu accéder aux informations de connexion SSH. Cependant, GoDaddy a envoyé un e-mail aux clients compromis leur notifiant que leurs mots de passe ont été réinitialisés.
Citation
Lire le courrier électronique de GoDaddy aux clients concernés déposé auprès du ministère de la Justice de Californie
Le document PDF peut être téléchargé à partir du California Department of Justice: Courriel du client SSH
Davantage de ressources
- Comment la sécurité du site Web affecte-t-elle votre référencement?
- HTTP ou HTTPS? Pourquoi vous avez besoin d'un site sécurisé
