Die Hackergruppe Crimson Collective behauptete, Zugang zu einem der internen GitLab-Server von Red Hat erhalten zu haben und 570 GB komprimierte Daten mit Informationen aus 28.000 Repositories heruntergeladen zu haben. Unter anderem fanden sich in den erbeuteten Daten etwa 800 CER-Berichte (Customer Engagement Report), die vertrauliche Informationen zu Plattformen und Netzwerkinfrastrukturen von Red Hat-Kunden enthalten, die Beratungsdienste in Anspruch nahmen.
In den von den Angreifern präsentierten Screenshots und Beispielen wird erwähnt, dass Daten in Bezug auf etwa 800 Kunden von Red Hat erlangt wurden, darunter Vodafone, T-Mobile, Siemens, Boeing, Bosch, 3M, Cisco, DHL, Adobe, American Express, Verizon, JPMC, HSBC, Ericsson, Merrick Bank, Telefonica, Bank of America, Delta Air Lines, Walmart, Kaiser, IBM, SWIFT, IKEA und AT&T sowie das Zentrum für Seeüberwaffnung der US Navy, die Federal Aviation Administration der USA, die Federal Emergency Management Agency der USA, die US Air Force, die National Security Agency der USA, das US-Patent- und Markenamt, der US-Senat und das Repräsentantenhaus der USA.
Es wird behauptet, dass die erbeuteten Repositories Informationen über die Infrastruktur der Kunden, Konfigurationen, Authentifizierungstoken, Profile VPN, Bestandsdaten, Ansible-Playbooks, Einstellungen der OpenShift-Plattform, CI/CD-Runner, Backups und andere Daten enthalten, die für einen Angriff auf die internen Netzwerke der Kunden verwendet werden könnten. Die Angreifer versuchten, Red Hat für Erpressung zu kontaktieren, erhielten jedoch nur eine Standardantwort mit dem Vorschlag, einen Bericht über eine Sicherheitsanfälligkeit an den Sicherheitsdienst zu senden.
Red Hat hat den Vorfall der Sicherheitsverletzung bestätigt, gab jedoch keine Einzelheiten bekannt und kommentierte die Informationen über den Inhalt des Lecks nicht. Es wird nur erwähnt, dass der gehackte GitLab-Server im Beratungsbereich verwendet wurde und das Unternehmen Maßnahmen ergriffen hat, die zur Untersuchung und Wiederherstellung erforderlich sind. Vertreter von Red Hat behaupten, sie hätten keinen Grund zu der Annahme, dass der Hack andere Dienstleistungen und Produkte des Unternehmens als eines Server GitLab betroffen hat.
Ergänzung: Das Unternehmen Red Hat hat einen vorläufigen Bericht über den Vorfall veröffentlicht. Der Bericht enthält keine Einzelheiten, sondern erwähnt lediglich, dass das Unternehmen eine Untersuchung eingeleitet hat, bei der festgestellt wurde, dass ein Unbekannter Zugriff auf den GitLab-Server, der für die Projekte des Red Hat Consulting-Teams genutzt wird, erlangt hat und einige Daten davon heruntergeladen wurden.
Bezüglich der vom Angreifer heruntergeladenen Daten wird behauptet, dass sie Projektspezifikationen, Codebeispiele und interne Informationsmaterialien zu den Beratungsdienstleistungen enthielten. In der aktuellen Phase der Analyse des Vorfalls wurden noch keine wichtigen persönlichen Daten gefunden, die entglitten sind.
Wie der Angreifer Zugriff auf den GitLab-Server erlangen konnte, wird nicht präzisiert, es wird jedoch angegeben, dass bei dem Angriff die gestern entdeckte Schwachstelle (CVE-2025-10725) im OpenShift AI Service nicht ausgenutzt wurde, die es einem authentifizierten, nicht privilegierten Benutzer, wie z.B. einem Forscher, der ein Jupyter-Notebook verwendet, ermöglicht, Administratorrechte für den Cluster zu erhalten, die vollen Zugriff auf alle Dienste, Daten und in dem Cluster ausgeführten Anwendungen sowie Root-Zugriff auf die Clusterknoten bieten.
Quelle: opennet.ru
