Piraterie d'un serveur GitLab interne de Red Hat

Le groupe de hackers Crimson Collective a déclaré avoir obtenu l'accès à l'un des serveurs internes GitLab de la société Red Hat et avoir téléchargé 570 Go de données compressées, contenant des informations provenant de 28 000 dépôts. Parmi les données capturées, il y avait environ 800 rapports CER (Customer Engagement Report), contenant des informations confidentielles sur les plateformes et les infrastructures réseau des clients de Red Hat qui recevaient des services de conseil.

Les captures d'écran et les exemples fournis par les attaquants mentionnent l'acquisition de données concernant environ 800 clients de Red Hat, parmi lesquels Vodafone, T-Mobile, Siemens, Boeing, Bosch, 3M, Cisco, DHL, Adobe, American Express, Verizon, JPMC, HSBC, Ericsson, Merrick Bank, Telefonica, Bank of America, Delta Air Lines, Walmart, Kaiser, IBM, SWIFT, IKEA et AT&T, ainsi que le Centre pour le développement des armements navals de la marine américaine, la FAA, la FEMA, l'US Air Force, la NSA, le USPTO, le Sénat des États-Unis et la Chambre des représentants des États-Unis.

Il est allégué que les dépôts capturés contiennent des informations sur l'infrastructure des clients, des configurations, des jetons d'authentification, des profils VPN, des données d'inventaire, des Ansible playbooks, des configurations de plateforme OpenShift, des runners CI/CD, des sauvegardes et d'autres données pouvant être utilisées pour orchestrer une attaque contre les réseaux internes des clients. Les cybercriminels ont tenté de contacter Red Hat dans un but d'extorsion, mais n'ont obtenu qu'une réponse générique les invitant à soumettre un rapport sur la vulnérabilité au service de sécurité.

La société Red Hat a confirmé l'incident de sécurité, mais n'a pas fourni de détails ni commenté les informations sur le contenu de la fuite. Il est seulement mentionné que le serveur GitLab piraté était utilisé dans le département de conseil et que la société a pris les mesures nécessaires pour enquêter et se rétablir. Les représentants de Red Hat affirment qu'ils n'ont aucune raison de croire que le piratage a affecté d'autres services et produits de la société, à l'exception d'un seul. de serveurs GitLab.

Complément : La société Red Hat a publié un rapport préliminaire sur l'incident. Le rapport ne contient pas de détails, il est seulement indiqué que la société a lancé une enquête, au cours de laquelle il a été découvert qu'un individu inconnu avait accédé au serveur GitLab utilisé pour gérer les projets de l'équipe Red Hat Consulting et avait téléchargé certaines données.

Concernant les données téléchargées par l'attaquant, il est affirmé qu'elles contenaient des spécifications de projets, des exemples de code et des documents internes sur les services de conseil. À ce stade de l'analyse de l'incident, aucune fuite de données personnelles importantes n'a été détectée.

Les détails concernant la manière dont l'attaquant a pu accéder au serveur GitLab ne sont pas précisés, mais il est indiqué que l'attaque n'a pas utilisé la vulnérabilité découverte hier (CVE-2025-10725) dans le service OpenShift AI, qui permet à un utilisateur authentifié non privilégié, comme un chercheur utilisant un notebook Jupyter, d'obtenir des droits d'administrateur sur le cluster, ayant un accès complet à tous les services, données et applications exécutées dans le cluster, ainsi qu'un accès root aux nœuds du cluster.

Source : opennet.ru