GitBookセキュリティインシデントの振り返り：攻撃はTrade.xyzを標的とし、SSOの脆弱性により本番環境が侵害された

BlockBeatsのニュース、11月5日、GitBookは11月2日のセキュリティインシデントの振り返りを発表し、攻撃者がシングルサインオンプロセスの脆弱性を悪用して従業員のログインセッションを偽造し、さらに組織内で不適切に設定されたGitHub App認証情報を照会して内部コードリポジトリに侵入し、Cloudflare APIキーを取得し、最終的にサービスアカウントを利用して本番環境の完全な権限を獲得したと述べた。GitBookは数時間以内に関連する内部サービスアカウントを無効化して攻撃を遮断し、プラットフォームは約16時間停止し、11月3日11:56 UTCに完全復旧した。攻撃者は本番環境に累計約3時間25分滞在し、GitBookはすべてのインフラストラクチャとホストされた顧客キーをローテーションし、APIトークンを無効化した。

GitBookは、現時点の兆候は攻撃がプラットフォーム全体ではなく単一の顧客を標的としたことを示しており、他の顧客コンテンツの改ざんは確認されていないが、攻撃者がプラットフォーム内の顧客データにアクセスできるため、すべての顧客データが露出した可能性があるとして処理し、APIトークン、統合キー、セッション署名キー、アシスタントのQ&A記録、および認可されたリポジトリのGitHub、GitLabアプリ権限などが含まれるが、請求情報、パスワード、IPアドレスは影響を受けていないと述べた。GitBookは、攻撃の進行速度と精度が自動化とAIに高度に依存していたと述べた。SlowMistの最高情報セキュリティ責任者23pdsはこの振り返りを転載し、名指しされた標的はTrade.xyzであると述べた。Trade.xyzは以前、ドキュメントの異常はGitBookインフラストラクチャの侵害によるものであり、自社インフラストラクチャに侵害の兆候は見られず、数日以内にGitBookから移行すると述べていた。