Fuite de données sur `cloud.lebib.org`
Aujourd'hui 1er Novembre 2022 une fuite de données ("information disclosure sérieuse a été identifiée sur le service NextCloud hébergé par le BIB.
Cette fuite de données concerne les services suivants :
- cloud.lebib.org
- cloud.latendresse.fr
De plus, cette fuite concerne aussi des données hébergées sur les serveurs "da-boat.org" et "VIAPHET", administrés par @benbart.
Informations ayant fuitées :
- noms des comptes utilisateur.ices
- adresses e-mail associées à ces comptes
Etendue de la fuite :
- publique : ces données étaient accessibles sur des serveurs en inscription libre, par n'importe quel compte, même si ce compte n'était dans aucun groupe
Etat de la fuite :
- au 1er janvier à 04:35 du matin, la fuite est partiellement résolue :
- les serveurs
cloud.lebib.org
etcloud.latendresse.fr
ont été purgés des données issues de cette fuite, elles ne sont donc plus accessibles par ce biais - les serveurs
da-boat.org
etVIAPHET
sont actuellement hors ligne, donc même si les données issues de la fuite sont présentes sur ces serveurs, elles ne sont pas actuellement accessible
- les serveurs
-
CEPENDANT:
- nous ne savons pas si les serveurs da-boat/VIAPHET ont été fédérés avec d'autre serveurs, ce qui aurait répliqué les données en question sur ces autres serveurs (et sur ceux fédérés avec ces mêmes serveurs, etc)
- nous ne savons pas si des acteur.ice.s malveillant.e.s ont pu avoir accès à ces données, les archiver, ou les inclure dans des jeux de données, d'autant plus que nous n'avons pas encore pu déterminer de date de début pour cette situation
Tâches réalisées :
-
nettoyage de la base de données sur cloud.lebib.org
(hébergée parnotix/core-sql
) -
nettoyage de la base de données sur cloud.latendresse.fr
(hébergée parnotix/core-sql
) -
désactivation de la fédération sur cloud.lebib.org
-
réactivation de l'auto-complétion des utilisateur.ice.s sur cloud.lebib.org
Tâches importantes et urgentes :
-
ajouter les détails techniques connus à ce sujet, sur ce ticket -
contacter @benbart pour : - savoir si les données ont été repliquées sur d'autres instances NextCloud
- nettoyer la base de données, et les backups, pour en purger les données privées
-
identifier une date de début pour cette situation -
préparer une communication publique à ce sujet (en y liant ce ticket) -
signaler cette situation à l'équipe de dev de NextCloud -
communiquer publiquement sur les risques graves de la fédération avec NextCloud