zPanel Projekt gehackt, weil Support Mitarbeiter Forenmitglied beleidigt hat

Zitat

Die offizielle Website der Webhosting-Oberfläche zPanel ist derzeit nicht erreichbar. Die Ursache dafür ist anscheinend ein Hackerangriff, der stattgefunden haben soll, nachdem ein Mitglied des Support-Teams einen Nutzer im offiziellen Forum beschimpft hat.

Am gestrigen Mittwoch veröffentlichte ein Forenteilnehmer namens "joepie91_" Details zu einer Schwachstelle in zPanel, die seit einiger Zeit bekannt sein soll. Seinen Angaben nach weigere sich das Entwicklerteam jedoch, die Lücke zu schließen. Über speziell präparierte Templates sei es möglich, Befehle mit Root-Rechten auf dem Server auszuführen. Er bezeichnete zPanel als "unsicherstes Hosting-Panel mit signifikanter Nutzerbasis", das er je gesehen habe.

Dies konnte der Forenteilnehmer "PS2Guy", der dem Support-Team angehört, so offenbar nicht im Raum stehen lassen. Gleich im ersten Satz seines Antwortbeitrags bezeichnete er den Vorposter als "verf*** Besserwisser". Er schrieb, dass alle Sicherheitsprobleme in zPanel behoben wurden und "joepie91_" doch mal versuchen soll, irgendeinen Server, auf dem die aktuelle zPanel-Version 10.0.2 läuft, zu hacken.

Ferner hätten nur Administratoren die Möglichkeit, Templates hochzuladen, was später auch einer der Entwickler im Forum bestätigte. Dies erschwere das Ausnutzen der Lücke deutlich – ein Angreifer müsste den Admin erst mal dazu bringen, das speziell präparierte Template zu installieren.

Schwerwiegendere Folgen als die Lücke sollte für das zPanel-Team die sprachliche Entgleisungen des Support-Mitarbeiters haben: Durch die Äußerungen von "PS2Guy" entwickelte sich in der Netzgemeinde – allen voran in der Sicherheits-Community /r/netsec bei reddit – Antipathie gegenüber dem zPanel-Team. Und so kam es, wie es kommen musste: Irgendwer nahm die Aufforderung des Support-Mitarbeiters, irgendeinen zPanel-Server zu hacken, wörtlich. Als Angriffsziel wurde jedoch nicht "irgendein" Server auserkoren, sondern zpanelcp.com – der Hauptserver des Open-Source-Projekts.

Bei reddit veröffentlichte Screenshots deuten darauf hin, dass zunächst einige Forenaccounts von Support-Mitarbeitern gehackt wurden. Doch dabei sollte es nicht bleiben: Ein Screenshot soll belegen, dass sogar jemand Root-Zugriff auf den Server hatte und dabei potenziell auch Daten kopiert hat. Aktuell erscheint beim Aufruf der Domain lediglich eine Testseite des Apache-Webservers. Wer hinter der Tat steckt und wie der Server kompromittiert wurde, ist derzeit noch unklar.

Alles anzeigen

Quelle: http://heise.de/-1864196

Meine Meinung:
Haben sie verdient und der Entsprechende Support Mitarbeiter gehört gekündigt, eine solche Arroganz ist kaum zu glauben.

Nicht wirklich Auge um Auge, es war eigentlich nur der Beweis, dass deren zPanel unsicher ist und er hatte ja auch noch drum gebeten, dass jemand zeigen solle, dass die Schwachstelle existiere

Es ist auch hier eigentlich ein No-Go, aber in einem professionellen Umfeld ist das einfach der Todesstoß für den Job mMn. Wenn ich mir vorstelle, dass ich so mit einem Kunden reden würde, da bin ich mir sicher, dass ich meinen Job innerhalb kürzester Zeit verlieren würde. Okay es ist ein OS Projekt, aber dennoch sollten die Supporter da sich auch entsprechend verhalten.