حادث أمني على GitBook: الهجوم استهدف Trade.xyz عبر ثغرة SSO

تشير رسالة ChainCatcher إلى أن GitBook نشرت مراجعة لحادث الأمان في 2 نوفمبر، حيث استغل المهاجمون ثغرة في عملية تسجيل الدخول الأحادي لتقليد جلسات تسجيل دخول الموظفين، ثم استخرجوا معلومات المصادقة غير المهيأة بشكل صحيح لتطبيق GitHub داخل المنظمة، ودخلوا مستودعات الكود الداخلية للحصول على مفاتيح API الخاصة بـ Cloudflare، وحصلوا في النهاية على صلاحيات كاملة لبيئة الإنتاج عبر حساب خدمة. قام GitBook بتعطيل حسابات الخدمة الداخلية ذات الصلة خلال ساعات قليلة لقطع الهجوم، مما أدى إلى تعطيل المنصة لمدة حوالي 16 ساعة، واستعادت الخدمة بالكامل في 3 نوفمبر الساعة 11:56 بتوقيت عالمي منسق. تبقى المهاجمون في بيئة الإنتاج لمدة إجمالية قدرها 3 ساعات و25 دقيقة، وقد قام GitBook بتبديل جميع مفاتيح البنية التحتية ومفاتيح العملاء المضيفة، وإلغاء رموز API. أفاد GitBook أن الأدلة الحالية تشير إلى أن الهجوم استهدف عميلاً واحداً فقط وليس المنصة بأكملها، ولم يتم اكتشاف أي تغييرات في محتوى العملاء الآخرين، لكن نظراً لأن المهاجمين كان لديهم إمكانية الوصول إلى بيانات العملاء داخل المنصة، تم التعامل مع الأمر على أساس أن جميع بيانات العملاء قد تكون معرضة للخطر، وتشمل ذلك رموز API ومفاتيح التكامل ومفاتيح توقيع الجلسات وسجلات أسئلة وأجوبة المساعد وصلاحيات تطبيقات GitHub وGitLab للمستودعات المخولة، بينما لم تتأثر معلومات الفوترة وكلمات المرور وعناوين IP. وأفاد GitBook أن سرعة ودقة الهجوم كانت تعتمد بشكل كبير على الأتمتة والذكاء الاصطناعي. ونشر رئيس أمن المعلومات في SlowMist، 23pds، مراجعة الحادث، موضحاً أن الهدف المحدد هو Trade.xyz. وقد أفادت Trade.xyz سابقاً أن التغييرات غير الطبيعية في المستندات نتجت عن اختراق البنية التحتية لـ GitBook، ولم تظهر أي علامات على اختراق بنية تحتية خاصة بها، وستنتقل من GitBook خلال أيام قليلة.