dockerhub gehackt

Virun e puer Stonnen goufen e puer Benotzer vun DockerHub E-Maile mat dem folgenden Inhalt geschéckt:

"En Donneschdeg, 25. Abrëll 2019 hu mir onerlaabten Zougang zu enger vun den DockerHub Datenbanken entdeckt, déi e puer vun den net-finanzielle Benotzerdaten späichert. Beim Entdeckung hu mir direkt all néideg Schrëtt geholl fir d'Benotzerdaten ze sécheren.

An elo wëlle mir d'Informatioun deelen, déi mir während der Enquête fonnt hunn, inklusiv wéi eng DockerHub Konten betraff waren a wéi eng Handlungen hir Besëtzer elo sollten huelen.

Hei ass wat mir et fäerdeg bruecht hunn erauszefannen:

Wärend enger kuerzer Period vun onerlaabten Zougang zu der DockerHub Datebank, kënne vertraulech Donnéeë vu ronn 190 Konten (manner wéi 000% vun de Service Benotzer) ausgesat ginn. D'Daten enthalen d'Benotzernimm a Passwuert-Hashes vun engem klenge Prozentsaz vun den uewe genannte Benotzer, souwéi d'GitHub- a BitBucket-Tokens, déi fir automatiséiert Containerbauen benotzt ginn.

Wat soll elo gemaach ginn:

- Mir froen d'Benotzer d'Passwuert vum DockerHub an all aner Konten z'änneren déi datselwecht Passwuert benotzen.

- Benotzer, déi automatiséiert Builds benotzen, déi dovu betraff sinn, goufen Tokens an Zougangsschlëssel zréckgesat. Mir froen hinnen och hir Repositories fir all rezent verdächteg Aktivitéit ze kontrolléieren.

- Fir erauszefannen wéi verdächteg Aktivitéit op Äre GitHub a BitBucket Konten an de leschten 24 Stonnen z'ënnersichen, befollegt d'Links help.github.com/en/articles/reviewing-your-security-log и bitbucket.org/blog/new-audit-logs-give-you-the-who-what-what-and-where

- Dëst kann Är aktuell Builds vun eisem Auto Build Service beaflossen. Dir musst och Är GitHub a BitBucket Konten unlinken an nei verbannen. Dëst ass am Detail hei geschriwwen. docs.docker.com/docker-hub/builds/link-source

Mir wäerten eis Sécherheetssystemer verbesseren an eis Politik iwwerpréiwen. Mir hunn och zousätzlech Metriken opgestallt fir méiglech zukünfteg illegal Aktivitéiten ze verfolgen.

Mir ënnersichen nach ëmmer den Tëschefall a wäerten Iech aktualiséieren wann méi Detailer verfügbar sinn.

Wéi gewinnt iwwerpréiwen mir eis eege Mail, eis Konten an den ugewisenen Servicer, a kreéieren Passwierder nei. Mir wäerten dëse Post aktualiséieren wéi nei Informatioun verfügbar ass.

Nëmme registréiert Benotzer kënnen un der Ëmfro deelhuelen. Umellen, wann ech glift.

Hutt Dir en ähnleche Bréif kritt?

• datt

• Nee

• Ech hu keen DockerHub Kont

26 Benotzer hunn gestëmmt. 2 Benotzer hu sech enthalen.

Source: will.com