Grupa hakerska Crimson Collective ogłosiła, że uzyskała dostęp do jednego z wewnętrznych serwerów GitLab firmy Red Hat i pobrała z niego 570 GB skompresowanych danych, które zawierają informacje z 28 tysięcy repozytoriów. Wśród zebranych danych znajdowało się około 800 raportów CER (Customer Engagement Report), zawierających poufne informacje o platformach i infrastrukturze sieciowej klientów Red Hat, którym świadczono usługi doradcze.
W przedstawionych przez napastników zrzutach ekranu i przykładach wspomniano o pozyskaniu danych związanych z około 800 klientami Red Hat, wśród których znajdują się Vodafone, T-Mobile, Siemens, Boeing, Bosch, 3M, Cisco, DHL, Adobe, American Express, Verizon, JPMC, HSBC, Ericsson, Merrick Bank, Telefonica, Bank of America, Delta Air Lines, Walmart, Kaiser, IBM, SWIFT, IKEA oraz AT&T, a także Centrum Rozwoju Uzbrojenia Nawodnego Marynarki Wojennej USA, Federalna Administracja Lotnictwa Cywilnego USA, Federalna Agencja Zarządzania Kryzysowego USA, Siły Powietrzne USA, Agencja Bezpieczeństwa Narodowego USA, Urząd Patentowy i Znaków Towarowych USA, Senat USA oraz Izba Reprezentantów USA.
Podano, że przejęte repozytoria zawierają informacje o infrastrukturze klientów, konfigurację, tokeny uwierzytelniające, profile VPN, dane inwentarzowe, Ansible playbook, konfiguracje platformy OpenShift, runner-y CI/CD, kopie zapasowe oraz inne dane, które mogą być wykorzystane do przeprowadzenia ataku na wewnętrzne sieci klientów. Cyberprzestępcy próbowali skontaktować się z Red Hat w celu wymuszenia, ale otrzymali jedynie standardową odpowiedź z propozycją przesłania raportu o podatności do działu bezpieczeństwa.
Firma Red Hat potwierdziła incydent związany z bezpieczeństwem, ale nie przedstawiła szczegółów ani nie skomentowała informacji na temat zawartości wycieku. Wspomniano jedynie, że zhakowany serwer GitLab był wykorzystywany w jednostce doradczej i firma podjęła niezbędne kroki w celu przeprowadzenia dochodzenia i przywrócenia. Przedstawiciele Red Hat twierdzą, że nie mają podstaw, aby sądzić, że włamanie dotknęło inne usługi i produkty firmy, poza jednym serwera GitLab.
Uzupełnienie: Firma Red Hat opublikowała wstępny raport dotyczący incydentu. W raporcie brak szczegółów; jedynie zaznaczono, że firma rozpoczęła śledztwo, w trakcie którego ustalono, że nieznana osoba uzyskała dostęp do serwera GitLab, używanego do prowadzenia projektów zespołu Red Hat Consulting, i pobrała z niego pewne dane.
W odniesieniu do danych pobranych przez atakującego twierdzi się, że zawierały one specyfikacje projektów, przykłady kodu oraz wewnętrzne materiały informacyjne dotyczące usług konsultingowych. Na obecnym etapie analizy incydentu nie zidentyfikowano wycieku ważnych danych osobowych.
Nie wyszczególniono, w jaki sposób atakujący uzyskał dostęp do serwera GitLab, ale zaznaczono, że w ataku nie wykorzystano wczoraj wykrytej luki (CVE-2025-10725) w OpenShift AI Service, która pozwalała uwierzytelnionemu użytkownikowi bez uprawnień, na przykład badaczowi używającemu notatnik Jupyter, uzyskać prawa administratora klastra, mającego pełny dostęp do wszystkich usług, danych oraz uruchamianych w klastrze aplikacji, a także dostęp do root na węzłach klastra.
Źródło: opennet.ru
