O grupo de hackers Crimson Collective afirmou ter obtido acesso a um dos servidores internos do GitLab da Red Hat e ter baixado 570 GB de dados compactados, contendo informações de 28 mil repositórios. Entre os dados capturados, estavam cerca de 800 relatórios CER (Customer Engagement Report), que continham informações confidenciais sobre as plataformas e infraestruturas de rede dos clientes da Red Hat que recebiam serviços de consultoria.
Nos prints e exemplos apresentados pelos atacantes, menciona-se a obtenção de dados relacionados a cerca de 800 clientes da Red Hat, incluindo Vodafone, T-Mobile, Siemens, Boeing, Bosch, 3M, Cisco, DHL, Adobe, American Express, Verizon, JPMC, HSBC, Ericsson, Merrick Bank, Telefônica, Bank of America, Delta Air Lines, Walmart, Kaiser, IBM, SWIFT, IKEA e AT&T, além do Centro de Desenvolvimento de Armas de Superfície da Marinha dos EUA, da Administração Federal de Aviação dos EUA, da Agência Federal de Gestão de Emergências dos EUA, da Força Aérea dos EUA, da Agência Nacional de Segurança dos EUA, do Escritório de Patentes e Marcas dos EUA, do Senado dos EUA e da Câmara dos Representantes dos EUA.
Alegadamente, os repositórios capturados contêm informações sobre a infraestrutura dos clientes, configurações, tokens de autenticação, perfis VPN, dados de inventário, playbooks do Ansible, configurações da plataforma OpenShift, runners de CI/CD, backups e outros dados que podem ser usados para organizar um ataque às redes internas dos clientes. Os criminosos tentaram entrar em contato com a Red Hat com o intuito de extorsão, mas receberam apenas uma resposta padrão oferecendo o envio de um relatório de vulnerabilidade para o setor de segurança.
A Red Hat confirmou o incidente de segurança, mas não forneceu detalhes e não comentou as informações sobre o conteúdo do vazamento. É mencionado apenas que o servidor GitLab invadido era utilizado na divisão de consultoria e que a empresa tomou as medidas necessárias para a investigação e recuperação. Representantes da Red Hat afirmam que não têm motivos para acreditar que a invasão afetou outros serviços e produtos da empresa, além de um servidor GitLab.
Adendo: A empresa Red Hat publicou um relatório inicial sobre o incidente. O relatório não fornece detalhes, apenas mencionando que a empresa iniciou uma investigação, na qual foi descoberto que um desconhecido teve acesso ao servidor GitLab utilizado para gerenciar os projetos da equipe Red Hat Consulting e baixou alguns dados dele.
A respeito dos dados extraídos pelo atacante, afirma-se que eles continham especificações de projetos, exemplos de código e materiais informativos internos sobre serviços de consultoria. Neste estágio da análise do incidente, não foi identificada a divulgação de dados pessoais importantes.
Não foi especificado como o atacante conseguiu acessar o servidor GitLab, mas foi indicado que a vulnerabilidade identificada ontem (CVE-2025-10725) no OpenShift AI Service, que permite a um usuário autenticado e não privilegiado, como um pesquisador usando o Jupyter notebook, obter privilégios de administrador do cluster com acesso total a todos os serviços, dados e aplicativos em execução no cluster, além de acesso root aos nós do cluster, não foi utilizada na ataque.
Fonte: opennet.ru
