GitBook sự cố an ninh tổng kết: cuộc tấn công nhắm vào Trade.xyz, lỗ hổng SSO dẫn đến môi trường sản xuất bị xâm nhập

GitBook phát hành báo cáo sự kiện an ninh ngày 2 tháng 11 cho biết, kẻ tấn công đã lợi dụng lỗ hổng trong quy trình đăng nhập một điểm để giả mạo phiên đăng nhập của nhân viên, từ đó truy vấn thông tin xác thực của GitHub App được cấu hình không đúng trong tổ chức, vào kho mã nội bộ và lấy được khóa API của Cloudflare, cuối cùng thông qua tài khoản dịch vụ để có quyền truy cập đầy đủ vào môi trường sản xuất.

GitBook đã vô hiệu hóa các tài khoản dịch vụ nội bộ liên quan trong vài giờ để ngăn chặn cuộc tấn công, nền tảng này vì vậy đã ngừng hoạt động khoảng 16 giờ và đã phục hồi hoàn toàn vào lúc 11:56 UTC ngày 3 tháng 11. Kẻ tấn công đã ở lại môi trường sản xuất tổng cộng khoảng 3 giờ 25 phút, GitBook đã thay đổi toàn bộ cơ sở hạ tầng và hủy bỏ khóa khách hàng được lưu trữ cũng như hủy bỏ mã thông báo API.

GitBook cho biết, các dấu hiệu hiện có cho thấy cuộc tấn công nhắm vào một khách hàng duy nhất chứ không phải toàn bộ nền tảng, không phát hiện nội dung của khách hàng khác bị thay đổi, nhưng do kẻ tấn công có thể truy cập dữ liệu khách hàng trong nền tảng, đã xử lý theo cách mà tất cả dữ liệu khách hàng đều có thể bị lộ, bao gồm mã thông báo API, khóa tích hợp, khóa chữ ký phiên, hồ sơ hỏi đáp trợ lý và quyền ứng dụng của GitHub, GitLab đối với kho đã được ủy quyền, thông tin hóa đơn, mật khẩu và địa chỉ IP không bị ảnh hưởng.

GitBook cho biết tốc độ và độ chính xác của cuộc tấn công phụ thuộc cao vào tự động hóa và AI. Giám đốc an ninh thông tin của SlowMist, 23pds, đã chuyển tiếp báo cáo này và cho biết mục tiêu bị nhắm đến chính là Trade.xyz. Trade.xyz trước đó đã cho biết, sự bất thường trong tài liệu đến từ việc cơ sở hạ tầng của GitBook bị xâm nhập, cơ sở hạ tầng của chính họ không có dấu hiệu bị tấn công và sẽ di chuyển khỏi GitBook trong vài ngày tới.