Sekojiet zdnet: Pievienojiet mūs kā vēlamo avotu Google.
ZDNET galvenie pārņemšana
- Hakeri ir sadalījušies Pink Hat privātajās Gitlab krātuvēs.
- Šķiet, ka kāda Pink Hat Consulting klientu informācija ir nozagta.
- Cik nopietns ir šis pārkāpums, tas joprojām ir atklāts jautājums.
Drošības pārkāpums notiks katra uzņēmuma dzīvē. Šoreiz tā ir Linux un mākoņu spēkstacija Sarkanā cepure ‘S pagrieziens. Jaunizplūdes kibernoziegumu grupa, kas sevi sauc par Crimson Collective (pazīstama arī kā Windfall Ey Gitlab Krātuvju un klientu informācijas zagšana un konfidenciāla avota kods.
Arī: hakeri ar šo vienkāršo triku nozaga 1 miljardu ierakstu no Salesforce klientu datu bāzēm – nekritiet par to
Grupa iesniedza prasību vēlu ceturtdienas laikā Telegrammaekrānuzņēmumu ievietošana, domājams, parāda direktoriju sarakstus no iekšējiem sarkano cepuru projektiem. Red Hat ir apstiprinājusi pārkāpumuApvidū
Pink Hat paziņoja:
“Nesen mēs atklājām nesankcionētu piekļuvi GitLAB gadījumam, ko izmanto iekšējam Red Hat Consulting Sadarbība atsevišķās saderināšanās laikā. Mēs nekavējoties sākām rūpīgu izmeklēšanu, noņēmām neatļautas puses piekļuvi, izolējām instanci un sazinājāmies ar atbilstošajām iestādēm. Mūsu izmeklēšana, kas turpinās, atklāja, ka neatļauta trešā persona ir piekļuvusi un nokopējusi dažus datus no šī gadījuma. “
Hakeri apgalvo, ka ir pārvilkuši gandrīz 570 GB datu no 28 000 iekšējās attīstības krātuvēm. Šie dati, domājams, ietver aptuveni 800 klientu iesaistes ziņojumus (CERS).
Pink Hat Cers ir detalizēti dokumenti no Pink Hat konsultāciju pakalpojumiem, kas satur sensitīvu informāciju par klientu vidi, piemēram, arhitektūras diagrammām, tīkla konfigurācijām un autentifikācijas marķieriem. Bruņots ar šiem datiem, grupa apgalvo, ka tā var ielauzties pakārtotajā klientu infrastruktūrā.
Vai pakārtotie klienti ir neaizsargāti?
Pink Hat atbilde uz šo apgalvojumu: “Kompromitētajā GITLAB instancē ir izvietoti konsultāciju saderināšanās dati, kas var ietvert, piemēram, Pink Hat projekta specifikācijas, koda fragmentu piemēru un iekšējās komunikācijas par konsultēšanas pakalpojumiem. Šis GitLab gadījums parasti nesatur jutīgus personas datus. Kamēr mūsu analīze joprojām nav identificējusi jutīgus personas datus šajā laikā.”
Arī: Pikšķerēšanas apmācība neliedz darbiniekiem noklikšķināt uz krāpšanas saitēm – lūk, kāpēc
Grupa paziņoja, ka tā ir ieguvusi CERS no tādiem uzņēmumiem kā AT&T, Financial institution of America un Constancy, kā arī valdības aģentūras, ieskaitot ASV Jūras spēku Jūras spēku virsmas kara centru, Federālo aviācijas pārvaldei un ASV Pārstāvju palātu.
Atbildot uz to, Pink Hat atkārtoja, ka šis hack ir ietekmējis tikai Pink Hat Consulting klientus. “Pašlaik mums nav pamata uzskatīt, ka šī drošības problēma ietekmē kādu no citiem mūsu Pink Hat pakalpojumiem vai produktiem, ieskaitot mūsu programmatūras piegādes ķēdi vai Pink Hat programmatūras lejupielādi no oficiālajiem kanāliem.”
Ja jūs neesat Pink Hat Consulting klients, Pink Hat nodrošina visiem citiem klientiem un lietotājiem, ka “šobrīd nav pierādījumu, ka šis incidents būtu ietekmējis”. Pink Hat teica, ka tā “apzinās, ka pretenzijas tiek izplatītas tiešsaistē” un “drošības komandas aktīvi pārskata šo lietu”.
Kamēr ir iesaistīta GitLab programmatūra, šis drošības pārkāpums ir pilnīgi Pink Hat problēma, nevis Gitlab. Paziņojumā Gitlab sacīja: “GitLab pārvaldīto sistēmu vai infrastruktūras vai infrastruktūras pārkāpums nav pārkāpis. Gitlab paliek drošs un neietekmēts. Incidents attiecas uz Pink Hat pašpārvaldīto gadījumu Gitlab kopienas izdevumsmūsu bezmaksas atvērtā kodola piedāvājums. ”
Uzņēmumi, kas izvieto Gitlab Group Version, ir atbildīgi par tā nodrošināšanu; Gitlab nav.
Crimson Collective apgalvo, ka ir sifonējis “desmitiem gigabaitu” datu no Pink Hat pašpārbaudītās Gitlab cases, ieskaitot neizlaistos projektus un ar drošību saistītos rīkus. Noplūdes vietnēs nav parādījušies avota koda paraugi, tāpēc šie apgalvojumi joprojām nav nepārbaudīti.
Arī: Kiberuzbrukumi, Salesforce saskaras ar uzticības problēmu – un potenciālu klases rīcību
Turklāt, tā kā visa Pink Hat programmatūra un pakalpojumi ir balstīti uz atvērtā koda kodu, ir diezgan sarežģīti iedomāties, kā piekļuve tā kodam varētu radīt visas briesmas. Patentēts kods no, teiksim, Apple vai Microsoft, būtu cits stāsts. Wager visi Red Hat Enterprise Linux (RHEL) kods jau ir tur iekšā Fedora un Simtos StraumeApvidū Mēs jau precīzi zinām, kas ir Rhel receptē un kā tā tiek cepta.
Tomēr šis Pink Hat klientu datu pārkāpums sabojā uzņēmuma reputāciju. Pēdējo divu gadu laikā vairāk uzņēmumu ir kļuvuši uztraucas par atvērtā koda piegādes ķēdes drošības jautājumiem.
Palieciet priekšā drošības ziņām ar Tech šodienkatru rītu piegādāts uz iesūtni.
Sākot ar piektdienas beigām, Pink Hat nebija sniegusi turpmākus atjauninājumus par to, cik nopietnas ir Crimson Collective prasības. Galu galā kibernoziegumu grupas bieži pārspīlē vai veic pārkāpumus, lai iegūtu uzmanību. Nav šaubu, ka ir bijis pārkāpums, guess tas, cik nopietni tas ir, joprojām ir atklāts jautājums.
