Đánh giá sự cố bảo mật GitBook: cuộc tấn công nhắm vào Trade.xyz, lỗ hổng SSO khiến môi trường sản xuất bị xâm nhập

Tin BlockBeats, ngày 5 tháng 11, GitBook đã công bố bản đánh giá sự cố bảo mật ngày 2 tháng 11, cho biết kẻ tấn công đã lợi dụng lỗ hổng trong quy trình đăng nhập một điểm (SSO) của họ để giả mạo phiên đăng nhập của nhân viên, từ đó truy vấn thông tin xác thực GitHub App được cấu hình không đúng trong tổ chức, xâm nhập vào kho mã nội bộ và lấy được khóa API Cloudflare, cuối cùng thông qua tài khoản dịch vụ có được quyền truy cập đầy đủ vào môi trường sản xuất. GitBook đã vô hiệu hóa các tài khoản dịch vụ nội bộ liên quan trong vòng vài giờ để cắt đứt cuộc tấn công, nền tảng đã ngừng hoạt động khoảng 16 giờ và phục hồi hoàn toàn vào lúc 11:56 UTC ngày 3 tháng 11. Kẻ tấn công đã lưu trú trong môi trường sản xuất tổng cộng khoảng 3 giờ 25 phút, GitBook đã luân chuyển toàn bộ khóa cơ sở hạ tầng và khóa khách hàng được lưu trữ đồng thời vô hiệu hóa các token API.

GitBook cho biết, các dấu hiệu hiện tại cho thấy cuộc tấn công nhắm vào một khách hàng duy nhất chứ không phải toàn bộ nền tảng, chưa phát hiện nội dung của khách hàng khác bị sửa đổi, nhưng vì kẻ tấn công có thể tiếp cận dữ liệu khách hàng trong nền tảng, nên đã xử lý theo hướng toàn bộ dữ liệu khách hàng đều có thể bị lộ, bao gồm token API, khóa tích hợp, khóa ký phiên, bản ghi hỏi đáp của trợ lý và quyền của ứng dụng GitHub, GitLab trên các kho đã được ủy quyền, thông tin thanh toán, mật khẩu và địa chỉ IP không bị ảnh hưởng. GitBook cho biết tốc độ và độ chính xác của cuộc tấn công phụ thuộc rất nhiều vào tự động hóa và AI. Giám đốc An ninh Thông tin của SlowMist, 23pds, đã chia sẻ lại bản đánh giá này và cho biết mục tiêu bị chỉ đích danh chính là Trade.xyz. Trade.xyz trước đó cho biết, sự bất thường trong tài liệu đến từ việc cơ sở hạ tầng của GitBook bị xâm nhập, cơ sở hạ tầng của chính họ không có dấu hiệu bị tấn công và sẽ di chuyển khỏi GitBook trong vài ngày tới.