I starten af april blev der hos Apache Foundation, der står bag en række store open source-projekter, registreret en ny besked på en af deres servere, det skulle vise sig at være en fælde.
I beskeden, der var udformet som et spørgsmål om hjælp til et konkret problem i JIRA, var der et tinyurl.com-link, som senere viste sig at indeholde et XSS-angreb (Cross Site Script). Ved at udnytte en svaghed i serveren lykkedes det ukendte personer at stjæle sessions-cookien fra de, der klikkede på linket, heriblandt flere JIRA-administratorer.
Ved hjælp af bruteforce-angreb lykkedes det at knække adgangskoden for en administrator-konto og så fortsatte angrebet. Over en periode på fire dage, fra den 6. til den 9. april, lykkedes det angriberne at logge alle, som loggede ind på JIRA-siden i det tidsrum, og stjæle deres adgangskoder.
Derudover lykkedes det at få adgang til hele brugerdatabasen inkl. adgangskoder, der dog er beskyttet af en 512 bit SHA-hash. Simple adgangskoder vil dog kunne knækkes forholdsvist nemt, hvorfor Apache Foundation har opfordret alle brugere til at ændre deres kode.
Det viste sig også, at en af brugerne anvendte samme bruger og adgangskode på en anden server, der hoster Apache installationerne af JIRA, Confluence og Bugzilla, hvorfor den også blev kompromitteret.
Apache Software Foundation har nu få lukket hullerne og erkender, der var flere svagheder i deres sikkerhed, men også at brugen af engangskodeord på de fleste servere forhindrede det i at kunne have gået meget værre.