Il y a quelques heures, certains utilisateurs de DockerHub ont reçu des e-mails avec le contenu suivant :
« Le jeudi 25 avril 2019, nous avons découvert un accès non autorisé à l'une des bases de données DockerHub, qui stocke certaines des données non financières des utilisateurs. Dès la découverte, nous avons immédiatement pris toutes les mesures nécessaires pour sécuriser les données des utilisateurs.
Et maintenant, nous aimerions partager les informations que nous avons pu trouver au cours de l'enquête, y compris quels comptes DockerHub ont été affectés et quelles mesures leurs propriétaires devraient prendre maintenant.
Voici ce que nous avons réussi à découvrir :
Pendant une courte période d'accès non autorisé à la base de données DockerHub, les données confidentielles d'environ 190 000 comptes (moins de 5 % des utilisateurs du service) pourraient être exposées. Les données incluent les noms d'utilisateur et les hachages de mots de passe d'un petit pourcentage des utilisateurs ci-dessus, ainsi que les jetons GitHub et BitBucket utilisés pour les constructions de conteneurs automatisées.
Que faut-il faire maintenant :
- Nous demandons aux utilisateurs de changer les mots de passe de DockerHub et de tout autre compte utilisant le même mot de passe.
- Les utilisateurs utilisant des versions automatisées qui pourraient avoir été affectés par cela ont vu leurs jetons et leurs clés d'accès réinitialisés. Nous leur demandons également de vérifier leurs référentiels pour toute activité suspecte récente.
- Pour savoir comment enquêter sur les activités suspectes sur vos comptes GitHub et BitBucket au cours des dernières 24 heures, suivez les liens и
- Cela peut affecter vos builds actuels de notre service de build automatique. Vous devrez peut-être également dissocier et réassocier vos comptes GitHub et BitBucket. Ceci est écrit en détail ici.
À notre tour, nous améliorerons nos systèmes de sécurité et réviserons nos politiques. Nous avons également mis en place des mesures supplémentaires pour suivre d'éventuelles activités illégales futures.
Nous enquêtons toujours sur l'incident et vous tiendrons au courant dès que de plus amples détails seront disponibles."
Comme d'habitude, nous vérifions notre propre courrier, nos comptes dans les services indiqués et recréons les mots de passe. Nous mettrons à jour ce message au fur et à mesure que de nouvelles informations seront disponibles.
Seuls les utilisateurs enregistrés peuvent participer à l'enquête. s'il te plait.
Avez-vous reçu une lettre similaire?
-
Oui
-
Aucun
-
Je n'ai pas de compte DockerHub
26 utilisateurs ont voté. 2 utilisateurs se sont abstenus.
Source: habr.com