Angriffsquelle?

[fletschge]

"Der Betreiber des Mirror-Servers hat laut Sourceforge bereits herausgefunden, wie der Angriff erfolgte. Es sei davon auszugehen, dass nur dieser einzelne Server betroffen ist."

Mich würde interessieren wie das genau passieren konnte (Und besonders warum nur diese eine Datei). Weiss da jemand mehr darüber?

[dabbes]

Vor allem warum fand kein Hash-Abgleich statt?
Dann wäre eine Änderung im Vergleich zum Original doch schnell aufgefallen.
Hier muss auch Sourceforge etwas an seinem System unternehmen, sich auf Dritte zu verlassen ist keine Lösung.

[ThorstenMUC]

Wenn der Mirror Server gehackt wurde, nachdem das Paket von SF dorthin kam... wie sollte SF da noch etwas ausrichten können?

Der Hacker hat Kontrolle über den Mirror - nur dort wurde das Paket verändert und natürlich kann auch dort ein möglicherweise stattfindender lokaler Hash-Abgleich kompromittiert sein.

Einzig der Hash-Abgleich nach dem Download beim Endanwender zwischen der Mirror-Datei und dem validen Hash von SF wäre ein Sicherheitsgewinn.
Aber das muss der Endanwender machen - nicht SF. Wer den Schritt überspringt läuft halt Gefahr mal eine kompromittierte Datei zu erwischen.