GitBookのセキュリティインシデントの振り返り：攻撃はTrade.xyzを標的にし、SSOの脆弱性が生産環境の侵害を引き起こした

GitBookは11月2日に安全事件の振り返りを発表し、攻撃者がそのシングルサインオンプロセスの脆弱性を利用して従業員のログインセッションを偽造し、組織内の不適切に設定されたGitHub Appの認証情報を照会し、内部コードリポジトリにアクセスしてCloudflare APIキーを取得し、最終的にサービスアカウントを通じて完全な本番環境の権限を取得したと述べました。

GitBookは数時間以内に関連する内部サービスアカウントを無効にして攻撃を切断し、プラットフォームは約16時間ダウンし、11月3日11:56 UTCに全面的に復旧しました。攻撃者は本番環境において約3時間25分滞在し、GitBookはすべてのインフラストラクチャとホスティング顧客キーをローテーションし、APIトークンを無効にしました。

GitBookは、現時点での兆候は攻撃がプラットフォーム全体ではなく特定の顧客を対象としていることを示しており、他の顧客のコンテンツが改ざんされた形跡は見つかっていないが、攻撃者がプラットフォーム内の顧客データにアクセスできるため、すべての顧客データが露出する可能性があるとして処理を行ったと述べています。これにはAPIトークン、統合キー、セッション署名キー、アシスタントのQ&A記録、承認されたリポジトリのGitHub、GitLabアプリの権限などが含まれ、請求情報、パスワード、IPアドレスは影響を受けていません。

GitBookは、攻撃の進行速度と精度は自動化とAIに高度に依存していると述べています。慢雾の最高情報セキュリティ責任者23pdsはこの振り返りを転送し、標的にされたのはTrade.xyzであると述べました。Trade.xyzは以前、文書の異常がGitBookのインフラストラクチャの侵害に起因するものであり、自身のインフラストラクチャには攻撃の兆候が見られないと述べ、数日内にGitBookから移転する予定であるとしています。