Pazartesi günü GitHub, Heroku ve Travis CI tarafından sağlanan üçüncü taraf OAuth kullanıcı belirteçlerinden yararlanarak yetkisiz bir tarafın özel depo içeriğini indirmesini içeren bir saldırı kampanyasının tüm kurbanlarını bilgilendirdiğini belirtti.
Şirket, “Müşteriler, etkilenen OAuth uygulamalarına ilişkin kendi araştırmalarına ilişkin güncellemeler için Heroku ve Travis CI’yi de izlemeye devam etmelidir.” dedim güncellenmiş bir gönderide.
Olay ilk olarak 12 Nisan’da GitHub’ın kötü niyetli bir aktörün NPM de dahil olmak üzere düzinelerce kuruluştan veri indirmek için Heroku ve Travis-CI’ye verilen çalıntı OAuth kullanıcı belirteçlerinden yararlandığına dair işaretleri ortaya çıkardığında ortaya çıktı.
Microsoft’a ait platform ayrıca, devam eden soruşturmanın ek kurbanları belirlemesi durumunda müşterileri derhal uyaracağını söyledi. Ek olarak, saldırganın diğer saldırılarda kullanılabilecek sırlar için depoları da kazabileceği konusunda uyardı.
Olayın ardından GitHub entegrasyonuna desteğini çeken Heroku, önerilen kullanıcıların uygulama dağıtımlarını Git veya GitLab veya Bitbucket gibi diğer sürüm kontrol sağlayıcılarıyla entegre etme seçeneğine sahip olmaları.
Barındırılan sürekli entegrasyon hizmet sağlayıcısı Travis CI, benzer bir danışma Pazartesi günü yayınlanan, “sistemlerimize daha fazla erişimi engelleyen tüm yetkilendirme anahtarlarını ve belirteçleri iptal ettiğini” belirtti.
Hiçbir müşteri verisinin açığa çıkmadığını belirten şirket, saldırganların bir Heroku hizmetini ihlal ettiğini ve hem Heroku hem de Travis CI uygulamalarını entegre etmek için kullanılan özel bir uygulamanın OAuth anahtarına eriştiğini kabul etti.
Ancak Travis CI, özel bir müşteri havuzuna izinsiz giriş olduğuna dair hiçbir kanıt bulamadığını veya tehdit aktörlerinin haksız kaynak kodu erişimi elde ettiğini yineledi.
Şirket, “Sahip olduğumuz veriler ve çok dikkatli olmamız nedeniyle, Travis CI, hiçbir müşteri verisinin tehlikeye atılmamasını sağlamak için Travis CI’yi GitHub ile entegre eden tüm özel müşteri kimlik doğrulama anahtarlarını ve belirteçlerini iptal etti ve yeniden yayınladı” dedi.