Il gruppo hacker Crimson Collective ha dichiarato di aver ottenuto l'accesso a uno dei server interni di GitLab della Red Hat, scaricando 570 GB di dati compressi, contenenti informazioni da 28.000 repository. Tra i dati catturati vi erano circa 800 CER (Customer Engagement Report), contenenti informazioni riservate sulle piattaforme e le infrastrutture di rete dei clienti della Red Hat che ricevevano servizi di consulenza.
Negli screenshot e nei campioni presentati dagli attaccanti si menzionano dati relativi a circa 800 clienti della Red Hat, tra cui Vodafone, T-Mobile, Siemens, Boeing, Bosch, 3M, Cisco, DHL, Adobe, American Express, Verizon, JPMC, HSBC, Ericsson, Merrick Bank, Telefonica, Bank of America, Delta Air Lines, Walmart, Kaiser, IBM, SWIFT, IKEA e AT&T, oltre al Centro di sviluppo delle armi navali della Marina degli Stati Uniti, la Federal Aviation Administration degli Stati Uniti, la Federal Emergency Management Agency degli Stati Uniti, le Forze Aeree degli Stati Uniti, la National Security Agency degli Stati Uniti, l'Ufficio brevetti e marchi degli Stati Uniti, il Senato degli Stati Uniti e la Camera dei rappresentanti degli Stati Uniti.
Si afferma che i repository compromessi contengano informazioni sull'infrastruttura dei clienti, configurazioni, token di autenticazione, profili VPN, dati di inventario, playbook di Ansible, impostazioni della piattaforma OpenShift, runner CI/CD, backup e altri dati che potrebbero essere utilizzati per organizzare un attacco alle reti interne dei clienti. Gli aggressori hanno tentato di contattare Red Hat per estorsioni, ricevendo solo una risposta standard con l'invito a inviare un report di vulnerabilità al servizio sicurezza.
L'azienda Red Hat ha confermato l'incidente di sicurezza, ma non ha fornito dettagli né commentato le informazioni sul contenuto della violazione. Si menziona solo che il server GitLab compromesso era utilizzato nel settore consulenziale e che l'azienda ha intrapreso le misure necessarie per indagare e ripristinare. I rappresentanti di Red Hat affermano di non avere motivi di ritenere che la violazione abbia interessato altri servizi e prodotti dell'azienda, oltre a uno. server GitLab.
Aggiornamento: La compagnia Red Hat ha pubblicato un rapporto preliminare sull'incidente. Il rapporto non fornisce dettagli, ma indica solo che l'azienda ha avviato un'indagine, durante la quale è emerso che un sconosciuto ha avuto accesso al server GitLab utilizzato per gestire i progetti del team Red Hat Consulting e ha scaricato alcuni dati da esso.
Per quanto riguarda i dati scaricati dall'attaccante, si sostiene che contenessero specifiche di progetti, campioni di codice e materiali informativi interni sui servizi di consulenza. Nella fase attuale dell'analisi dell'incidente, non è emersa alcuna perdita di dati personali importanti.
Non viene specificato come l'attaccante sia riuscito ad accedere al server GitLab, ma si indica che nell'attacco non è stata utilizzata la vulnerabilità ieri identificata (CVE-2025-10725) nel servizio OpenShift AI, che consente a un utente autenticato non privilegiato, ad esempio un ricercatore che utilizza Jupyter notebook, di ottenere diritti di amministratore del cluster, con accesso completo a tutti i servizi, dati e applicazioni in esecuzione nel cluster, nonché accesso root ai nodi del cluster.
Fonte: opennet.ru
