Hackergruppen Crimson Collective har meddelt, at de har fået adgang til en af Red Hats interne GitLab-servere og har downloadet 570 GB komprimerede data, der indeholder information fra 28.000 repositories. Blandt andet indeholder de beslaglagte data omkring 800 CER-rapporter (Customer Engagement Report), som indeholder fortrolige oplysninger om platforme og netværksinfrastrukturer for Red Hats kunder, der fik rådgivningstjenester.
De screenshots og eksempler, som angriberne præsenterer, nævner, at de har fået data relateret til omkring 800 Red Hat-kunder, herunder Vodafone, T-Mobile, Siemens, Boeing, Bosch, 3M, Cisco, DHL, Adobe, American Express, Verizon, JPMC, HSBC, Ericsson, Merrick Bank, Telefonica, Bank of America, Delta Air Lines, Walmart, Kaiser, IBM, SWIFT, IKEA og AT&T, samt Center for Overfladevåbenudvikling i den amerikanske flåde, Federal Aviation Administration, Federal Emergency Management Agency, den amerikanske luftvåben, National Security Agency, United States Patent and Trademark Office, Senatet og Repræsentanternes Hus.
Det hævdes, at de beslaglagte repositories indeholder oplysninger om kundernes infrastruktur, konfigurationer, autentificeringstokens, profiler VPN, inventardata, Ansible playbooks, indstillinger for OpenShift-platformen, CI/CD runners, sikkerhedskopier og andre oplysninger, der kan bruges til at planlægge angreb på kundernes interne netværk. Angriberne forsøgte at kontakte Red Hat for at kræve løsepenge, men fik kun et standard svar, der tilbød at sende en rapport om sårbarheder til sikkerhedstjenesten.
Red Hat har bekræftet sikkerhedshændelsen, men har ikke givet detaljer eller kommenteret indholdet af lækagen. Det nævnes kun, at den kompromitterede GitLab-server blev brugt i rådgivningsafdelingen, og virksomheden har taget de nødvendige skridt til at undersøge og genoprette. Repræsentanter fra Red Hat hævder, at de ikke har grund til at antage, at indbruddet påvirkede andre tjenester og produkter fra virksomheden, udover én server GitLab.
Tillæg: Red Hat har udsendt en indledende rapport om hændelsen. Rapporten indeholder ikke detaljer, men det er nævnt, at virksomheden er i gang med en undersøgelse, hvor det er blevet konstateret, at en ukendt person har fået adgang til GitLab-serveren, der bruges til at administrere projekterne for Red Hat Consulting-teamet, og har downloadet nogle data derfra.
Med hensyn til de data, der er blevet downloaded af angriberen, hævdes det, at de indeholdt projektspecifikationer, kodeeksempler og interne informationsmaterialer om konsulenttjenesterne. På nuværende tidspunkt er der ikke identificeret lækager af vigtige personlige oplysninger i analysen af hændelsen.
Hvordan angriberen lykkedes at få adgang til GitLab-serveren er ikke specificeret, men det er blevet angivet, at der ikke blev anvendt den sårbarhed (CVE-2025-10725), som blev opdaget i går i OpenShift AI Service, der tillader en godkendt, ikke-privilegeret bruger, såsom en forsker, der bruger Jupyter notebook, at få administratorrettigheder til et cluster med fuld adgang til alle tjenester, data og applikationer, der kører i clustret, samt root-adgang til cluster-noderne.
Kilde: opennet.ru
