Red Hati sisemise GitLab-serveri häkkimine

Häkkerigrupp Crimson Collective teatas, et on saanud juurdepääsu ühe Red Hati sisemise GitLabi serveri andmetele ning laadinud alla 570 GB kokkusurutud andmeid, mis sisaldavad teavet 28 000 repositoriumi kohta. Sealhulgas sisaldavad haaratud andmed umbes 800 CER-aruannet (Customer Engagement Report), milles on konfidentsiaalne teave Red Hati klientide platvormide ja võrgu infrastruktuuride kohta, kellele oli osutatud konsultatsiooniteenuseid.

Rünnakute käigus esitatud ekraanipiltidel ja näidistel mainitakse teabe saamist umbes 800 Red Hati kliendi kohta, sealhulgas Vodafone, T-Mobile, Siemens, Boeing, Bosch, 3M, Cisco, DHL, Adobe, American Express, Verizon, JPMC, HSBC, Ericsson, Merrick Bank, Telefonica, Bank of America, Delta Air Lines, Walmart, Kaiser, IBM, SWIFT, IKEA ja AT&T, samuti USA Mereväe pinnaväe relvade arenduskeskus, USA Föderaalne Tsiviillennunduse Administration, USA Föderaalne Hädahaldamise Amet, USA Õhuväed, USA Rahvusliku Julgeoleku Amet, USA Patendi- ja Kaubamärgiamet, USA Senat ja USA Esindajatekoja.

Töidetakse, et haaratud repositoriumid sisaldavad teavet klientide infrastruktuuri, konfiguratsiooni, autentimisvõtmete, profiilide VPN, inventeerimisandmeid, Ansible'i mänguplaane, OpenShifti platvormi seadeid, CI/CD käitajaid, varukoopiaid ja muid andmeid, mida saab kasutada rünnaku korraldamiseks klientide sisevõrkudele. Kurjategijad püüdsid Red Hatiga ühendust võtta väljapressimise eesmärgil, kuid said vaid standardvastuse pakkumisega saata turvateenistusele haavatavuste aruande.

Red Hat on kinnitanud turvaintervalli juhtumi, kuid ei ole esitanud üksikasju ega kommenteerinud lekke sisu teavet. Mainitud on vaid seda, et häkitud GitLabi serverit kasutati konsultatsiooniosakonnas ning ettevõte on astunud vajalikke samme juhtumi uurimiseks ja taastamiseks. Red Hati esindajad väidavad, et neil ei ole alust arvata, et häkkimine on mõjutanud muid ettevõtte teenuseid ja tooteid peale ühe. serverilt GitLab.

Täienduseks: Red Hat avaldas esialgse ülevaate juhtumist. Ülevaates ei ole detailselt kirjas, vaid on öeldud, et ettevõte alustas uurimist, milles selgus, et tundmatu isik pääses juurde GitLab-serverile, mida kasutati Red Hat Consulting meeskonna projektide haldamiseks, ning laadis sealt mõned andmed alla.

Seoses ründaja välja laaditud andmetega väidetakse, et need sisaldasid projektide spetsifikatsioone, koodinäiteid ja sisemisi teabelehti konsultatsiooniteenuste kohta. Juhul on hetkel analüüsi etapis veel tuvastamata oluliste isikuandmete lekkimist.

Kuidas ründaja suutis pääseda GitLab-serverisse, pole täpsustatud, kuid on öeldud, et rünnakus ei kasutatud eile tuvastatud haavatavust (CVE-2025-10725) OpenShift AI teenuses, mis lubas autentitud privileegideta kasutajal, näiteks uurijal, kes kasutas Jupyter notebooki, saada administraatori õigused, omades täisjuurdepääsu kõikidele teenustele, andmetele ja käivitatavatele rakendustele klasters, ning root-juurdepääsu klastrite sõlmedele.

Allikas: opennet.ru