Angrep på Red Hat sin interne GitLab-server

Hackergruppen Crimson Collective har meldt at de har fått tilgang til en av de interne GitLab-serverne til Red Hat og lastet ned 570 GB komprimerte data som inneholder informasjon fra 28 000 depot. Blant annet inneholdt de beslaglagte dataene omtrent 800 CER-rapporter (Customer Engagement Report) med konfidensiell informasjon om plattformer og nettverksinfrastrukturer til Red Hats kunder som mottok konsulenttjenester.

I bildene og eksemplene som angriperne har presentert, nevnes det at de har fått tilgang til data relatert til omtrent 800 kunder av Red Hat, inkludert Vodafone, T-Mobile, Siemens, Boeing, Bosch, 3M, Cisco, DHL, Adobe, American Express, Verizon, JPMC, HSBC, Ericsson, Merrick Bank, Telefonica, Bank of America, Delta Air Lines, Walmart, Kaiser, IBM, SWIFT, IKEA og AT&T, samt US Navy's Center for Surface Warfare, Federal Aviation Administration, Federal Emergency Management Agency, United States Air Force, National Security Agency, United States Patent and Trademark Office, Senate og House of Representatives.

Det påstås at de beslaglagte depotene inneholder informasjon om kundenes infrastruktur, konfigurasjon, autentiseringstokens, profiler VPN, inventardata, Ansible playbook, OpenShift-plattforminnstillinger, CI/CD-rutere, sikkerhetskopier og annen informasjon som kan brukes til å organisere angrep på kundenes interne nettverk. Angriperne prøvde å kontakte Red Hat for å kreve løsepenger, men fikk bare et standard svar med et tilbud om å sende en sikkerhetsrapport om sårbarheter.

Red Hat har bekreftet en sikkerhetshendelse, men har ikke gitt detaljer eller kommentert informasjonen om innholdet i datalekkasjen. Det nevnes kun at den kompromitterte GitLab-serveren ble brukt i konsulentavdelingen, og at selskapet har iverksatt nødvendige tiltak for å etterforske og gjenopprette systemene. Red Hat-representanter hevder at de ikke har grunn til å tro at innbruddet har påvirket andre tjenester og produkter av selskapet, bortsett fra ett. serveren GitLab.

Tillegg: Red Hat har publisert en innledende rapport om hendelsen. Rapporten inneholder ikke detaljer, men det bemerkes at selskapet har startet etterforskning og avdekket at en ukjent person har fått tilgang til GitLab-serveren som brukes til prosjektene til Red Hat Consulting, og har lastet ned noen data fra den.

Når det gjelder dataene som ble lekket av angriperen, hevdes det at de inneholdt spesifikasjoner for prosjekter, kodeeksempler og interne informasjoner om konsulenttjenester. På nåværende tidspunkt er det ikke avdekket lekkasje av viktige personopplysninger i analysen av hendelsen.

Hvordan angriperen fikk tilgang til GitLab-serveren er ikke spesifisert, men det er bemerket at det ikke ble utnyttet sårbarheten (CVE-2025-10725) i OpenShift AI Service, som ble oppdaget i går og gjorde det mulig for en autentisert ikke-privilegert bruker, for eksempel en forsker som bruker Jupyter-notatbok, å få administratorrettigheter til klusteret, med full tilgang til alle tjenester, data og applikasjoner som kjøres i klusteret, samt root-tilgang til klusterknutene.

Kilde: opennet.ru