Il team di Luanti ha segnalato una violazione dei server di ContentDB, il catalogo usato per distribuire giochi, mod e pacchetti della piattaforma precedentemente nota come Minetest. Secondo l’avviso ufficiale del team Luanti, un intruso ha avuto accesso a dati degli account, configurazioni interne e file caricati nel periodo fra il 22 e il 26 ottobre.
ContentDB è stato portato offline e i segreti di accesso sono stati revocati. Gli sviluppatori stanno sostituendo i componenti vulnerabili: stimano che gli interventi possano richiedere una settimana o più, senza fissare una data certa di riapertura.
Quali dati possono essere stati esposti
Il database comprende nomi utente, indirizzi email e hash delle password, non password conservate in chiaro. Sono coinvolti anche gli indirizzi IP di chi ha scaricato o visualizzato pacchetti dal gioco nelle due settimane precedenti al 26 ottobre; il team precisa che questi IP non erano collegati agli account.
Il confronto degli upload con i backup non ha mostrato modifiche. Questo non consente però di escludere che, durante la finestra vulnerabile, il server abbia distribuito temporaneamente file alterati. Al momento non ci sono prove di download malevoli: rischio possibile e compromissione dimostrata non sono la stessa cosa.
Le indicazioni per gli utenti
Chi ha riutilizzato altrove la password di ContentDB, o una simile, deve cambiarla subito sugli altri servizi. Il team invita inoltre a prestare attenzione alle email di phishing, comprese quelle che fingono di provenire da Luanti.
Per i contenuti scaricati fra il 22 e il 26 ottobre viene suggerito di controllare i file, confrontarli con le fonti originali o riscaricarli da una fonte affidabile. Alla riapertura di ContentDB sarà richiesto il ripristino della password e degli eventuali token API.
Il servizio resta sotto indagine
L’indagine riguarda due vulnerabilità, una delle quali in un componente di terze parti già segnalato al manutentore. I dettagli tecnici non sono stati ancora divulgati integralmente.
La piattaforma Luanti resta un progetto distinto dal catalogo ContentDB: l’avviso non dimostra che ogni gioco o mod sia infetto. Le immagini della galleria illustrano l’ecosistema e non identificano contenuti compromessi.
