Ich habe vor wenigen Minuten von t3orgissue[AT]typo3.org eine Email erhalten, in der mir mitgeteilt wurde, dass typo3.org gehackt wurde und der Angreifer Zugang zu Benutzerdaten und Passwörtern hatte.
Der Login auf typo3.org wurde erstmal abgeschaltet, und eine FAQ wurde eingerichtet.
Außer dieser Mail habe ich noch keine weiteren Infos erhalten, auch eine offizielle News auf typo3.org konnte ich nicht finden.
In der Mail heisst es:
The offender had access to website user details including their passwords, and there have been reports of this data being used to access other websites.
It also has to be expected that the data may have been disclosed to third parties.
Der Login funktioniert aktuell tatsächlich nicht auf typo3.org. Ich denke diese Mail ist kein Fake, denn auch ein Kollege hat diese Mail bereits erhalten. Ich bin sehr gespannt ob und wann es dazu eine offizielle News geben wird.
Wenn dies alles so stimmt, dann ist dies erschreckend. Da fragt man sich doch, wozu es Verschlüsselungen gibt. Die Passwörter müssten auf typo3.org dann ja im Klartext gespeichert worden sein. -.-
Hier die Mail als Ganzes.
Update [14.11. 14:31]: Laut Robert Lemke waren die Passwörter md5 verschlüsselt, das Passwort welches verwendet wurde, war lediglich zu einfach.
Update [15.11. 00:16]: Soeben kam auch eine offizielle News auf typo3.org rein. Inhaltlich leider noch nichts neues. Angeblich ist die News bereits 21 Stunden alt, vielleicht ein Cache Problem?
Update [15.11. 14:14]: Inzwischen haben bereits auch Heise und T3N darüber berichtet.
