สรุปเหตุการณ์ความปลอดภัยของ GitBook: การโจมตีมุ่งเป้าไปที่ Trade.xyz ช่องโหว่ SSO ทำให้สภาพแวดล้อมการผลิตถูกบุกรุก

BlockBeats รายงานว่า วันที่ 5 พฤศจิกายน GitBook เผยแพร่บทสรุปเหตุการณ์ความปลอดภัยเมื่อวันที่ 2 พฤศจิกายน โดยระบุว่าผู้โจมตีใช้ช่องโหว่ในกระบวนการ single sign-on ปลอมเซสชันเข้าสู่ระบบของพนักงาน จากนั้นสืบค้นข้อมูลการยืนยันตัวตนของ GitHub App ที่กำหนดค่าไม่เหมาะสมภายในองค์กร เข้าสู่คลังโค้ดภายในและได้รับ Cloudflare API key สุดท้ายใช้บัญชีบริการได้รับสิทธิ์เต็มในสภาพแวดล้อมการผลิต GitBook ปิดใช้งานบัญชีบริการภายในที่เกี่ยวข้องภายในไม่กี่ชั่วโมงเพื่อตัดการโจมตี แพลตฟอร์มจึงออฟไลน์ประมาณ 16 ชั่วโมง และกลับมาให้บริการเต็มรูปแบบเมื่อวันที่ 3 พฤศจิกายน เวลา 11:56 UTC ผู้โจมตีอยู่ในสภาพแวดล้อมการผลิตสะสมประมาณ 3 ชั่วโมง 25 นาที GitBook ได้หมุนเวียนคีย์โครงสร้างพื้นฐานและคีย์ลูกค้าที่โฮสต์ทั้งหมดแล้ว และเพิกถอน API token

GitBook ระบุว่าหลักฐานที่มีอยู่บ่งชี้การโจมตีมุ่งเป้าไปที่ลูกค้ารายเดียว而非ทั้งแพลตฟอร์ม ไม่พบเนื้อหาของลูกค้ารายอื่นถูกแก้ไข แต่เนื่องจากผู้โจมตีสามารถเข้าถึงข้อมูลลูกค้าภายในแพลตฟอร์มได้ จึงดำเนินการโดยถือว่าข้อมูลลูกค้าทั้งหมดอาจถูกเปิดเผย ซึ่งครอบคลุมถึง API token, คีย์การเชื่อมต่อ, คีย์ลายเซ็นเซสชัน, บันทึกการถามตอบของผู้ช่วย และสิทธิ์ของ GitHub, GitLab app ในคลังที่ได้รับอนุญาต ข้อมูลการเรียกเก็บเงิน รหัสผ่าน และที่อยู่ IP ไม่ได้รับผลกระทบ GitBook กล่าวว่าความเร็วและความแม่นยำของการโจมตีพึ่งพาการทำงานอัตโนมัติและ AI อย่างมาก 23pds ประธานเจ้าหน้าที่ความปลอดภัยสารสนเทศของ SlowMist แชร์บทสรุปดังกล่าวโดยระบุว่าเป้าหมายที่ถูกระบุชื่อคือ Trade.xyz ก่อนหน้านี้ Trade.xyz ระบุว่าเอกสารผิดปกติเกิดจากการบุกรุกโครงสร้างพื้นฐานของ GitBook ไม่พบสัญญาณว่าโครงสร้างพื้นฐานของตนเองถูกโจมตี และจะย้ายออกจาก GitBook ภายในไม่กี่วัน