La plateforme DevOps CircleCI a exhort\u00e9 mercredi ses clients \u00e0 faire tourner tous leurs secrets suite \u00e0 un incident de s\u00e9curit\u00e9 non sp\u00e9cifi\u00e9.<\/p>\n
La soci\u00e9t\u00e9 a d\u00e9clar\u00e9 qu’une enqu\u00eate \u00e9tait actuellement en cours, mais a soulign\u00e9 qu'”aucun acteur non autoris\u00e9 n’est actif dans nos syst\u00e8mes”. Des d\u00e9tails suppl\u00e9mentaires devraient \u00eatre partag\u00e9s dans les prochains jours.<\/p>\n
“Faites imm\u00e9diatement tourner tous les secrets stock\u00e9s dans CircleCI”, a d\u00e9clar\u00e9 le directeur de la technologie de CircleCI, Rob Zuber, m’a dit<\/a> dans un avis laconique. “Ceux-ci peuvent \u00eatre stock\u00e9s dans des variables d’environnement de projet ou dans des contextes.”<\/p>\n CircleCI recommande \u00e9galement aux utilisateurs de consulter les journaux internes \u00e0 la recherche de signes d’acc\u00e8s non autoris\u00e9 \u00e0 partir du 21 d\u00e9cembre 2022 jusqu’au 4 janvier 2023 ou jusqu’\u00e0 la rotation des secrets.<\/p>\n Le service de d\u00e9veloppement de logiciels n’a pas divulgu\u00e9 d’autres d\u00e9tails sur la violation, mais a d\u00e9clar\u00e9 qu’il avait \u00e9galement invalid\u00e9 tous Jetons d’API de projet<\/a> et qu’il faut les remplacer.<\/p>\n La divulgation intervient des semaines apr\u00e8s que la soci\u00e9t\u00e9 a annonc\u00e9 qu’elle avait publi\u00e9 mises \u00e0 jour de fiabilit\u00e9<\/a> au service le 21 d\u00e9cembre 2022, pour r\u00e9soudre les “probl\u00e8mes syst\u00e9miques” sous-jacents.<\/p>\n C’est aussi la derni\u00e8re br\u00e8che \u00e0 frapper CircleCI ces derni\u00e8res ann\u00e9es. La soci\u00e9t\u00e9, en septembre 2019, r\u00e9v\u00e9l\u00e9<\/a> “activit\u00e9 inhabituelle” li\u00e9e \u00e0 un fournisseur d’analyse tiers qui a entra\u00een\u00e9 un acc\u00e8s non autoris\u00e9 aux noms d’utilisateur et adresses e-mail associ\u00e9s \u00e0 GitHub et Bitbucket.<\/p>\n Puis l’ann\u00e9e derni\u00e8re, il a alert\u00e9 les utilisateurs que de fausses notifications par e-mail CircleCI \u00e9taient utilis\u00e9es pour voler les informations d’identification GitHub et les codes d’authentification \u00e0 deux facteurs (2FA).<\/p>\n Ce n’est tout simplement pas CircleCI, comme Slack l’a r\u00e9v\u00e9l\u00e9 le 31 d\u00e9cembre 2022, qui a pris connaissance d’un probl\u00e8me de s\u00e9curit\u00e9 qui impliquait un acc\u00e8s non autoris\u00e9 \u00e0 un sous-ensemble de ses r\u00e9f\u00e9rentiels de code source sur GitHub.<\/p>\n Le probl\u00e8me, qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 le 29 d\u00e9cembre 2022, a entra\u00een\u00e9 le vol d’un nombre limit\u00e9 de jetons d’employ\u00e9s Slack qui ont ensuite \u00e9t\u00e9 utilis\u00e9s pour acc\u00e9der \u00e0 son r\u00e9f\u00e9rentiel GitHub, permettant finalement \u00e0 l’adversaire de t\u00e9l\u00e9charger le code source.<\/p>\n Slack, cependant, a d\u00e9clar\u00e9 qu’aucune action du client n’\u00e9tait requise et que la violation avait \u00e9t\u00e9 rapidement contenue. Les identifiants ont depuis \u00e9t\u00e9 invalid\u00e9s.<\/p>\n “Aucun r\u00e9f\u00e9rentiel t\u00e9l\u00e9charg\u00e9 ne contenait de donn\u00e9es client, de moyens d’acc\u00e9der aux donn\u00e9es client ou \u00e0 la base de code principale de Slack”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 appartenant \u00e0 Salesforce. m’a dit<\/a>. “L’auteur de la menace n’a pas acc\u00e9d\u00e9 \u00e0 d’autres zones de l’environnement de Slack, y compris l’environnement de production, et il n’a pas acc\u00e9d\u00e9 \u00e0 d’autres ressources Slack ou donn\u00e9es client.”<\/p>\n Le service de messagerie instantan\u00e9e n’a pas partag\u00e9 plus d’informations sur la fa\u00e7on dont les jetons des employ\u00e9s ont \u00e9t\u00e9 vol\u00e9s, mais a soulign\u00e9 que “l’acc\u00e8s non autoris\u00e9 ne r\u00e9sultait pas d’une vuln\u00e9rabilit\u00e9 inh\u00e9rente \u00e0 Slack”.<\/p>\n <\/p>\n![\"CercleCI\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1672914651_798_CircleCI-exhorte-les-clients-a-faire-pivoter-les-secrets-apres.png\" "\\"CercleCI\\"\/")
<\/div>\nLes r\u00e9f\u00e9rentiels de code GitHub de Slack vol\u00e9s<\/strong><\/h3>\n