Kodi: Dritte hatten vollen Zugriff auf die Foren-Inhalte

Das Team hinter Kodi (dem Mediaplayer) hat bekannt gegeben, dass Dritte Zugriff auf die Daten des Forums für Mitglieder erhalten haben. Man wurde darauf aufmerksam, weil ein Dump der Kodi-Benutzerforen-Software (MyBB) nebst Daten zum Verkauf im Netz angeboten wurde.

Die MyBB-Administrationsprotokolle zeigen, dass das Konto eines vertrauenswürdigen, aber derzeit inaktiven Mitglieds des Forum-Administrationsteams verwendet wurde, um zweimal auf die webbasierte MyBB-Administrationskonsole zuzugreifen. Über dieses Konto wurden Datenbank-Backups erstellt, die anschließend heruntergeladen und gelöscht wurden. Außerdem wurden nächtliche Voll-Backups der Datenbank heruntergeladen. Der Kontoinhaber hat bestätigt, dass er nicht auf die Verwaltungskonsole zugegriffen hat, um diese Aktionen durchzuführen.

Die nächtlichen Vollbackups, die heruntergeladen wurden, enthalten alle öffentlichen Forenbeiträge, alle Teamforenbeiträge, alle Nachrichten, die über das Benutzer-zu-Benutzer-Nachrichtensystem verschickt wurden, sowie Benutzerdaten einschließlich des Forumsbenutzernamens, der für Benachrichtigungen verwendeten E-Mail-Adresse und eines verschlüsselten (hashed und salted) Passworts, das von der MyBB-Software (v1.8.27) generiert wurde.

Man sei dabei, die Daten der gefährdeten E-Mail-Adressen an die Website haveibeenpwned weiterzugeben, um die Aufmerksamkeit zu erhöhen. Man untersuche auch, wie man am besten eine Benachrichtigung und einen Hinweis zum Zurücksetzen des Passworts per E-Mail an die Nutzer senden kann, sobald das Forum wieder online ist.

Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf ge­lan­gt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir ei­ne kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.