Il gruppo hacker Crimson Collective ha annunciato di aver ottenuto accesso a uno dei server GitLab interni dell'azienda Red Hat e di aver scaricato da esso 570 GB di dati compressi contenenti informazioni da 28.000 repository. Tra l'altro, nei dati catturati erano presenti circa 800 rapporti CER (Customer Engagement Report), contenenti informazioni riservate su piattaforme e infrastrutture di rete dei clienti di Red Hat che avevano ricevuto servizi di consulenza.
Negli screenshot e negli esempi presentati dagli aggressori, si fa riferimento al recupero di dati relativi a circa 800 clienti di Red Hat, tra cui Vodafone, T-Mobile, Siemens, Boeing, Bosch, 3M, Cisco, DHL, Adobe, American Express, Verizon, JPMC, HSBC, Ericsson, Merrick Bank, Telefonica, Bank of America, Delta Air Lines, Walmart, Kaiser, IBM, SWIFT, IKEA e AT&T, nonché il Centro di sviluppo delle armi navali della Marina degli Stati Uniti, l'Amministrazione federale per l'aviazione civile degli Stati Uniti, l'Agenzia federale per la gestione delle emergenze degli Stati Uniti, le Forze aeree degli Stati Uniti, l'Agenzia per la sicurezza nazionale degli Stati Uniti, l'Ufficio dei brevetti e dei marchi degli Stati Uniti, il Senato degli Stati Uniti e la Camera dei rappresentanti degli Stati Uniti.
Si afferma che i repository catturati contengono informazioni sull'infrastruttura dei clienti, configurazioni, token di autenticazione, profili VPN, dati di inventario, Ansible playbook, configurazioni della piattaforma OpenShift, runner CI/CD, backup e altri dati che possono essere utilizzati per organizzare un attacco sulle reti interne dei clienti. Gli aggressori hanno tentato di contattare Red Hat per estorcere denaro, ma hanno ricevuto solo una risposta standard con l'invito a inviare un rapporto di vulnerabilità al servizio di sicurezza.
L'azienda Red Hat ha confermato l'incidente di sicurezza, ma non ha fornito dettagli né ha commentato le informazioni sul contenuto della perdita. Si menziona solo che il server GitLab compromesso era utilizzato nel dipartimento di consulenza e che l'azienda ha adottato le misure necessarie per indagare e ripristinare. I rappresentanti di Red Hat affermano di non avere motivo di ritenere che l'intrusione abbia colpito altri servizi e prodotti dell'azienda, oltre a uno server GitLab.
Integrazione: La compagnia Red Hat ha pubblicato un rapporto iniziale sull'incidente. Il rapporto non fornisce dettagli, ma indica solo che l'azienda ha avviato un'indagine, durante la quale è emerso che un soggetto sconosciuto ha ottenuto accesso al server GitLab utilizzato per gestire i progetti del team Red Hat Consulting e ha scaricato alcuni dati da esso.
Riguardo ai dati estratti dall'attaccante, si afferma che contenevano specifiche di progetti, esempi di codice e materiali informativi interni sui servizi di consulenza. A questo stadio dell'analisi dell'incidente non sono state ancora identificate perdite di dati personali importanti.
Non viene specificato come l'attaccante sia riuscito a ottenere accesso al server GitLab, ma è indicato che nell'attacco non è stata utilizzata la vulnerabilità (CVE-2025-10725) recentemente scoperta nel servizio OpenShift AI, che consente a un utente autenticato non privilegiato, ad esempio, un ricercatore che utilizza Jupyter notebook, di ottenere i diritti di amministratore del cluster, avendo pieno accesso a tutti i servizi, dati e applicazioni in esecuzione nel cluster, nonché accesso root ai nodi del cluster.
Fonte: opennet.ru
