PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : P3D - Info/Passwörter ändern

sun-man
2016-11-12, 20:04:17
Servus, gerade gelesen. Der eine oder andere ist sicherlich auch da.

http://www.planet3dnow.de/cms/27170-intern-bitte-passwoerter-aendern/

Leider müssen wir euch mitteilen, dass offenbar Nutzerdaten einschließlich der Passwörter von unserem Forum ausgelesen wurden und im Darknet kursieren. Da wir ein vBulletin-Forum verwenden, mutmaßlich durch eine Sicherheitslücke in der vB-Software.

Natürlich speichert die vBulletin-Forensoftware Passwörter nicht im Klartext, sondern mehrfach verhasht und mit einem Salt versehen. Jedoch lässt sich letztlich auch das mittels Brute Force dekodieren. Mit der Leistung aktueller Grafikkarten geht das leider schneller als man glauben mag, insbesondere bei einfachen Passwörtern.

Der Datensatz stammt angeblich vom September 2016. Wir haben den neuesten Patch für vBulletin 4.2.3 installiert, die Sicherheitslücke sollte damit geschlossen sein. Da wir im Gegensatz etwa zu einem Online-Shop weder Klarnamen, noch Adresse oder gar Kreditkarten-Informationen erheben oder speichern, dürften sich die potenziellen Zugangsdaten auf das Forum beschränken.
HarryHirsch
2016-11-12, 21:55:24
welche hashfunktion verwendet vbulletin?

die passwörter sollten btw. "resetet" werden... die können nicht erwarten das es jeder user mitbekommt.
lumines
2016-11-12, 22:11:33
welche hashfunktion verwendet vbulletin?

Scheinbar MD5, warum auch immer: https://www.troyhunt.com/data-breaches-vbulletin-and-weak/

Wie alt ist bcrypt noch einmal? 16 Jahre?
sun-man
2016-11-13, 08:25:52
Die Hashfunktion ist sicherlich das eine, viel ärgerlicher ist der Leak. Hier wurde doch auch erst vor kurzem upgedated.
derpinguin
2016-11-13, 08:36:04
Da wird Sephi sicher noch ein paar Worte zu verlieren, das Update war meines Wissens genau dazu gedacht, dass hier nicht so leicht eingebrochen werden kann um passwörter zu entwenden.
Laz-Y
2016-11-13, 12:30:11
Ich kann mich im P3D Forum nicht mehr anmelden.

- Passwort-Reset kann ich nicht durchführen da meine Mailadresse nicht erkannt wird
- einen Post im Forum kann ich nicht machen weil das als als Gast nicht geht (hab zumindest nicht gefunden)
- die Verantwortlichen kontaktieren geht nur, wenn man angemeldet ist

Im Impressum stehen die Mailadressen der Admins, da kann ich noch hinschreiben, aber gibt es noch eine andere Möglichkeit?

Wenn jemand das mit Kontakten zu den Verantwortlichen liest. Mailadresse und Nickname sind die gleiche wie hier.
Nero24
2016-11-13, 12:35:22
Wenn jemand das mit Kontakten zu den Verantwortlichen liest. Mailadresse und Nickname sind die gleiche wie hier.
Hi,

Dir wurde soeben ein neues PW zugesandt. An eine Yahoo-Mailbox wenn Dir das als Erinnerungsstütze hilft ;)
Laz-Y
2016-11-13, 12:36:53
Hallo und danke Nero :)

Hab ich da noch meine Yahoo-Adresse hinterlegt, das erklärt einiges :redface:
sei laut
2016-11-15, 13:48:33
@Nero: Ist davon die Version 4.2.2 betroffen gewesen? Also wurde bei euch von 4.2.2 auf 4.2.3 aktualisiert?
(hab leider keinen VB Zugang)

Edit: Ok, hab gerade was gefunden
http://www.vbulletin.com/forum/forum/vbulletin-announcements/vbulletin-announcements_aa/4349549-security-patch-vbulletin-4-2-2-4-2-3-4-2-4-beta
Da steht 4.2.1 als problematische Version drin. Aber ist irgendiwe etwas verwirrend, laut Text ist 4.2.2. ok.
Nero24
2016-11-15, 14:22:57
Hi,

ne, wir hatten auch vorher schon vB 4.2.3, aber jetzt eben Patchlevel 2 nicht Patchlevel 1.
sei laut
2016-11-15, 15:09:42
Gibts dazu ne öffentlich lesbare Meldung?
Also quasi, was sich zwischen Patch 1 und Patch 2 getan hat?

Edit: Vergiss es, man sollte lesen können. Habe den Text in der Ankünding völlig fehl interpretiert. Bin ein Trottel.
Nero24
2016-11-15, 15:30:39
http://www.vbulletin.com/forum/forum/vbulletin-announcements/vbulletin-announcements_aa/4349549-security-patch-vbulletin-4-2-2-4-2-3-4-2-4-beta