Sự cố bảo mật GitBook: Cuộc tấn công nhắm vào Trade.xyz thông qua lỗ hổng SSO

ChainCatcher đưa tin, GitBook đã công bố bản tổng kết sự cố bảo mật ngày 2 tháng 11, cho biết kẻ tấn công đã lợi dụng lỗ hổng trong quy trình đăng nhập đơn nhất để giả mạo phiên đăng nhập của nhân viên, từ đó truy vấn thông tin xác thực GitHub App được cấu hình sai trong tổ chức, xâm nhập vào kho mã nguồn nội bộ và lấy được khóa API của Cloudflare, cuối cùng sử dụng tài khoản dịch vụ để giành quyền truy cập đầy đủ vào môi trường sản xuất. GitBook đã vô hiệu hóa các tài khoản dịch vụ nội bộ liên quan trong vài giờ để cắt đứt cuộc tấn công, khiến nền tảng ngừng hoạt động khoảng 16 giờ và phục hồi hoàn toàn vào lúc 11:56 UTC ngày 3 tháng 11. Kẻ tấn công đã ở lại môi trường sản xuất tổng cộng khoảng 3 giờ 25 phút; GitBook đã thay đổi tất cả khóa hạ tầng và khóa do khách hàng quản lý, đồng thời vô hiệu hóa các token API. GitBook cho biết, các dấu hiệu hiện tại cho thấy cuộc tấn công nhắm vào một khách hàng duy nhất chứ không phải toàn bộ nền tảng, chưa phát hiện bất kỳ nội dung khách hàng nào bị thay đổi, nhưng do kẻ tấn công có thể tiếp cận dữ liệu khách hàng trong nền tảng, nên đã xử lý như thể tất cả dữ liệu khách hàng đều có thể bị lộ, bao gồm token API, khóa tích hợp, khóa ký phiên, hồ sơ câu trả lời trợ lý và quyền ứng dụng GitHub, GitLab được cấp phép cho các kho mã nguồn, trong khi thông tin hóa đơn, mật khẩu và địa chỉ IP không bị ảnh hưởng. GitBook cho biết tốc độ và độ chính xác của cuộc tấn công phụ thuộc rất lớn vào tự động hóa và AI. CISO hàng đầu của SlowMist, 23pds, đã chia sẻ bản tổng kết này và cho biết mục tiêu được nhắc đến chính là Trade.xyz. Trade.xyz trước đó đã tuyên bố rằng sự bất thường trong tài liệu là do hạ tầng GitBook bị xâm nhập, không có dấu hiệu nào cho thấy hạ tầng của họ bị xâm phạm, và họ sẽ chuyển rời khỏi GitBook trong vài ngày tới.