GitBook Анализ инцидента безопасности: атака на Trade.xyz, уязвимость SSO привела к компрометации производственной среды

GitBook опубликовал 2 ноября обзор инцидента с безопасностью, в котором говорится, что злоумышленники использовали уязвимость в процессе единого входа для подделки сеанса входа сотрудников, что позволило им запросить неправильно настроенные учетные данные GitHub App в организации, получить доступ к внутреннему репозиторию кода и получить ключ API Cloudflare, в конечном итоге получив полный доступ к производственной среде через учетную запись службы.

GitBook отключил соответствующие внутренние учетные записи службы в течение нескольких часов, чтобы остановить атаку, в результате чего платформа была недоступна примерно на 16 часов и полностью восстановилась 3 ноября в 11:56 UTC. Злоумышленники находились в производственной среде в общей сложности около 3 часов 25 минут, GitBook заменил всю инфраструктуру и аннулировал ключи клиентов, а также токены API.

GitBook заявил, что существующие признаки указывают на то, что атака была направлена на одного клиента, а не на всю платформу, и не было обнаружено других случаев изменения контента клиентов, но поскольку злоумышленники могли получить доступ к данным клиентов на платформе, все данные клиентов обрабатываются как потенциально раскрытые, включая токены API, интеграционные ключи, ключи подписи сеансов, записи вопросов и ответов помощника, а также разрешения приложений GitHub и GitLab для авторизованных репозиториев. Информация о счетах, пароли и IP-адреса не пострадали.

GitBook отметил, что скорость и точность атаки сильно зависели от автоматизации и ИИ. Главный специалист по информационной безопасности SlowMist 23pds переслал этот обзор, указав, что целью атаки был Trade.xyz. Trade.xyz ранее заявил, что аномалия в документах возникла из-за вторжения в инфраструктуру GitBook, и у них не было признаков взлома собственной инфраструктуры, и они планируют покинуть GitBook в течение нескольких дней.