GitHub hôm thứ Hai lưu ý rằng họ đã thông báo cho tất cả nạn nhân của một chiến dịch tấn công, liên quan đến một bên trái phép tải xuống nội dung kho lưu trữ riêng tư bằng cách tận dụng mã thông báo người dùng OAuth của bên thứ ba do Heroku và Travis CI duy trì.
“Khách hàng cũng nên tiếp tục theo dõi Heroku và Travis CI để cập nhật các cuộc điều tra của riêng họ đối với các ứng dụng OAuth bị ảnh hưởng”, công ty cho biết trong một bài đăng cập nhật.
Vụ việc ban đầu được đưa ra ánh sáng vào ngày 12 tháng 4 khi GitHub phát hiện ra các dấu hiệu cho thấy một kẻ xấu đã lợi dụng mã thông báo người dùng OAuth bị đánh cắp được cấp cho Heroku và Travis-CI để tải xuống dữ liệu từ hàng chục tổ chức, bao gồm cả NPM.
Nền tảng thuộc sở hữu của Microsoft cũng cho biết rằng nó sẽ cảnh báo cho khách hàng kịp thời nếu cuộc điều tra đang diễn ra xác định thêm nạn nhân. Ngoài ra, nó cảnh báo rằng kẻ thù cũng có thể đang đào sâu vào các kho lưu trữ các bí mật có thể được sử dụng trong các cuộc tấn công khác.
Heroku, công ty đã hỗ trợ tích hợp GitHub sau sự cố, đã khuyến nghị người dùng có tùy chọn tích hợp triển khai ứng dụng của họ với Git hoặc các nhà cung cấp kiểm soát phiên bản khác như GitLab hoặc Bitbucket.
Nhà cung cấp dịch vụ tích hợp liên tục được lưu trữ Travis CI, trong một tư vấn tương tự được xuất bản vào thứ Hai, tuyên bố rằng họ đã “thu hồi tất cả các khóa và mã thông báo ủy quyền ngăn cản bất kỳ quyền truy cập nào vào hệ thống của chúng tôi.”
Tuyên bố rằng không có dữ liệu khách hàng nào bị lộ, công ty thừa nhận rằng những kẻ tấn công đã vi phạm dịch vụ Heroku và truy cập vào khóa OAuth của ứng dụng cá nhân được sử dụng để tích hợp cả ứng dụng Heroku và Travis CI.
Nhưng Travis CI nhắc lại rằng họ không tìm thấy bằng chứng về việc xâm nhập vào kho lưu trữ khách hàng tư nhân hoặc rằng các tác nhân đe dọa có được quyền truy cập mã nguồn không chính đáng.
Công ty cho biết: “Do dữ liệu chúng tôi có và hết sức thận trọng, Travis CI đã thu hồi và phát hành lại tất cả các mã thông báo và khóa xác thực khách hàng cá nhân tích hợp Travis CI với GitHub để đảm bảo không có dữ liệu khách hàng nào bị xâm phạm”.
.
