GitBook güvenlik olayı incelemesi: Saldırı Trade.xyz'yi hedef aldı, SSO açığı üretim ortamının ele geçirilmesine yol açtı

BlockBeats haberine göre, 5 Kasım'da GitBook, 2 Kasım'daki güvenlik olayına ilişkin incelemesini yayımladı. Saldırganlar, tek oturum açma sürecindeki bir açığı kullanarak çalışan oturum açma bilgilerini taklit etmiş, ardından kuruluş içinde yanlış yapılandırılmış GitHub App kimlik doğrulama bilgilerini sorgulayarak dahili kod deposuna girmiş ve Cloudflare API anahtarlarını ele geçirmiş, son olarak hizmet hesapları aracılığıyla tam üretim ortamı yetkileri elde etmiştir. GitBook, birkaç saat içinde ilgili dahili hizmet hesaplarını devre dışı bırakarak saldırıyı kesmiş, platform bu nedenle yaklaşık 16 saat çevrimdışı kalmış ve 3 Kasım 11:56 UTC'de tamamen yeniden hizmete açılmıştır. Saldırganlar üretim ortamında toplam yaklaşık 3 saat 25 dakika kalmış, GitBook tüm altyapı ve barındırılan müşteri anahtarlarını yenilemiş ve API belirteçlerini geçersiz kılmıştır.

GitBook, mevcut belirtilerin saldırının platformun tamamına değil tek bir müşteriye yönelik olduğunu gösterdiğini, diğer müşteri içeriklerinin tahrif edildiğine dair bir bulgu olmadığını, ancak saldırganların platformdaki müşteri verilerine erişebilmesi nedeniyle tüm müşteri verilerinin potansiyel olarak açığa çıkmış olabileceği varsayımıyla hareket edildiğini belirtmiştir. Bu kapsamda API belirteçleri, entegrasyon anahtarları, oturum imzalama anahtarları, asistan soru-cevap kayıtları ve yetkilendirilmiş depoların GitHub, GitLab uygulama izinleri yer alırken, fatura bilgileri, parolalar ve IP adresleri etkilenmemiştir. GitBook, saldırının ilerleme hızı ve hassasiyetinin büyük ölçüde otomasyon ve yapay zekâya dayandığını ifade etmiştir. SlowMist Baş Bilgi Güvenliği Sorumlusu 23pds, bu incelemeyi paylaşarak adı geçen hedefin Trade.xyz olduğunu söylemiştir. Trade.xyz daha önce, dokümantasyon anormalliğinin GitBook altyapısının ihlal edilmesinden kaynaklandığını, kendi altyapısında bir ihlal belirtisi görülmediğini ve birkaç gün içinde GitBook'tan taşınacağını açıklamıştı.