Wyciek z Red Hat za pośrednictwem Gitlab

Repozytoria git są atrakcyjne dla włamywaczy. Duża ilość wewnętrznych danych, wraz z historią zmian, wielu użytkowników czy wreszcie błędy na platformach służących do obsługi repozytoriów (o których wielokrotnie pisaliśmy) czynią z nich interesujące cele. Co prawda w samych repozytoriach nie powinny znaleźć się poufne dane, takie jak klucze API, loginy czy hasła, ale praktyka pokazuje, że jest z tym różnie. Powstały nawet dedykowane narzędzia do poszukiwania sekretów w repozytoriach, takie jak np. TruffleHog.

TLDR:

• Red Hat potwierdza wyciek danych z platformy GitLab
• skradziono 570 GB skompresowanych danych
• dane pochodzą z oddziału konsultingowego, zawierają dane o infrastrukturze wielu klientów
• inne produkty Red Hat oraz łańcuch dostaw nie są zagrożone

Firma Red Hat potwierdziła wyciek ze swojej (utrzymywanej we własnej infrastrukturze) instancji Gitlab. Grupa określająca się jako Crimson Collective twierdzi, że skopiowała 570 GB skompresowanych danych z 28 tys. repozytoriów. Wśród danych znajduje się około 800 Customer Engagement Reports (CER), zawierające wrażliwe dane dotyczące infrastruktury klientów Red Hat, takie jak diagramy sieci, dane konfiguracyjne czy tokeny uwierzytelniające.

Grupa Crimson Collecitve utrzymuje, że zdobyte dane pozwoliły uzyskać jej dostęp do infrastruktury klientów. Ponadto na Telegramie opublikowała rzekomy listing z repozytorium git, z widocznymi nazwami klientów. Jest on także dostępny w całości na serwisach typu pastebin. Według niego wśród klientów dotkniętych wyciekiem znajdują się takie firmy jak Bank of America, Citi, Santander, Telstra, Telefonica, Cisco, Adobe, IBM, Ericsson, T-Mobile, AT&T, Fidelity, Kaiser, Mayo Clinic, Walmart, Costco, U.S. Navy’s Naval Surface Warfare Center, Federal Aviation Administration, House of Representatives.

Red Hat zapewnia, że możliwość nieautoryzowany dostępu została zlikwidowana, a instancja Gitlab, której dotyczy wyciek, jest wykorzystywana wyłącznie przez oddział firmy zajmujący się konsultingiem. W związku z tym inne produkty oraz łańcuchy dostaw powinny być niezagrożone.

Źródła:

1. https://www.bleepingcomputer.com/news/security/red-hat-confirms-security-incident-after-hackers-breach-gitlab-instance/
2. https://www.securityweek.com/red-hat-confirms-gitlab-instance-hack-data-theft/
3. https://socradar.io/red-hat-breach-crimson-collective-theft-repositories/
4. https://www.redhat.com/en/blog/security-update-incident-related-red-hat-consulting-gitlab-instance

~Paweł Różański