【セキュリティ】Apache狙いの攻撃発生、パスワード流出の恐れも（10/04/14）　

　Apache Software Foundationは4月13日、バグトラッキングソフト「JIRA」をホスティングしているサーバが
攻撃を受けたとブログで発表した。この攻撃により、ApacheでホスティングしているJIRA、Bugzilla、Confluence
のユーザーのハッシュ化されたパスワードが流出した恐れがあると警告した。

　Apacheによれば、攻撃には短縮URLサービスのTinyURLを使ってクロスサイトスクリプティング（XSS）攻撃コード
を仕込んだURLへリダイレクトする手口が使われたという。Apacheの管理者数人がこのリンクをクリックしてしまい、
JIRA管理権限を含むセッションに侵入された。

　さらにXSS攻撃と並行して、パスワードを総当りするブルートフォース攻撃が仕掛けられ、この手口で4月6日には
攻撃者にJIRAアカウントの管理者権限を取得されてしまった。Apacheは攻撃を受けたサービスを別のマシンに移し、
10日までにJIRAとBugzillaを復旧させたという。

　SANS Internet Storm Centerはこの事件について、「攻撃にはつい見過ごされがちな要素が多数含まれているが、
こうした要素を組み合わせれば深刻な事態を招くという教訓を残した」と解説している。

http://www.itmedia.co.jp/enterprise/articles/1004/14/news017.html