El grupo de hackers Crimson Collective afirmó haber obtenido acceso a uno de los servidores internos de GitLab de la empresa Red Hat y haber descargado 570 GB de datos comprimidos que contienen información de 28,000 repositorios. Entre otros, los datos capturados incluyen aproximadamente 800 CER (Customer Engagement Report), que contienen información confidencial sobre las plataformas e infraestructuras de red de los clientes de Red Hat que recibieron servicios de consultoría.
En las capturas de pantalla y ejemplos presentados por los atacantes se menciona la obtención de datos relacionados con aproximadamente 800 clientes de Red Hat, entre los cuales se encuentran Vodafone, T-Mobile, Siemens, Boeing, Bosch, 3M, Cisco, DHL, Adobe, American Express, Verizon, JPMC, HSBC, Ericsson, Merrick Bank, Telefónica, Bank of America, Delta Air Lines, Walmart, Kaiser, IBM, SWIFT, IKEA y AT&T, así como el Centro de Desarrollo de Armamento Naval de EE. UU., la Administración Federal de Aviación de EE. UU., la Agencia Federal de Manejo de Emergencias de EE. UU., la Fuerza Aérea de EE. UU., la Agencia de Seguridad Nacional de EE. UU., la Oficina de Patentes y Marcas Registradas de EE. UU., el Senado de EE. UU. y la Cámara de Representantes de EE. UU.
Se afirma que los repositorios capturados contienen información sobre la infraestructura de los clientes, configuraciones, tokens de autenticación, perfiles VPN, datos de inventario, un playbook de Ansible, configuraciones de la plataforma OpenShift, runners de CI/CD, copias de seguridad y otros datos que pueden ser utilizados para organizar un ataque a las redes internas de los clientes. Los atacantes intentaron comunicarse con Red Hat para extorsionar, pero solo recibieron una respuesta estándar ofreciendo enviar un informe de vulnerabilidad al departamento de seguridad.
La empresa Red Hat confirmó el incidente de seguridad, pero no brindó detalles ni comentó sobre el contenido de la filtración. Solo se menciona que el servidor de GitLab hackeado se utilizaba en la división de consultoría y que la empresa tomó las medidas necesarias para investigar y recuperar. Los representantes de Red Hat afirman que no tienen motivos para creer que la violación afectó a otros servicios y productos de la empresa, aparte de uno servidores GitLab.
Adición: La empresa Red Hat ha publicado un informe preliminar sobre el incidente. No se proporcionan detalles en el informe, solo se indica que la empresa ha iniciado una investigación, durante la cual se descubrió que un desconocido accedió al servidor de GitLab utilizado para gestionar proyectos del equipo de Red Hat Consulting y descargó algunos datos.
Se afirma que los datos descargados por el atacante contenían especificaciones de proyectos, ejemplos de código y material informativo interno sobre servicios de consultoría. En la etapa actual del análisis del incidente, no se ha detectado la filtración de datos personales importantes.
No se aclara cómo el atacante pudo acceder al servidor de GitLab, pero se indica que en el ataque no se utilizó la vulnerabilidad descubierta ayer (CVE-2025-10725) en OpenShift AI Service, que permite a un usuario autenticado no privilegiado, como un investigador que usa un cuaderno de Jupyter, obtener derechos de administrador del clúster, teniendo acceso completo a todos los servicios, datos y aplicaciones que se ejecutan en el clúster, así como acceso root a los nodos del clúster.
Fuente: opennet.ru
