Apache.org遭跨站攻擊，管理者帳號也被盜

著名開放源碼軟體組織Apache部份網站日前遭受駭客的跨站攻擊，駭客取得管理者權限並安裝密碼蒐集程式，導致網站使用者密碼洩漏。

Apache管理團隊昨天發布此事件的說明，指出三個網站的使用者密碼可能遭破解，並提醒使用者應調整密碼以免遭字典攻擊破解。

駭客攻擊的目標是Apache用來追蹤問題的專案管理網站JIRA。駭客於4月5日透過slicehost網站，留言表示JIRA網站有部份專案無法瀏覽，誘導數個管理員點選連結，該連結內容包含XSS(cross-site scripting)攻擊程序，會偷取使用者瀏覽器的暫存資料。

隨即駭客針對JIRA網站的login.jsp發起暴力字典攻擊，於4月6日取得JIRA網站一個管理者帳號與權限。三天後駭客安裝一個檔案，收集使用者的密碼，駭客還發通知郵件請apache管理團隊重新設定密碼，至少有一個駭客因此取得三個網站的管理者權限。

Apache團隊已經將這三個網站移轉到別的機器，但有一個網站還沒上線。（編譯/沈經）