最新消息:本站介绍:国外VPS、云服务器,海外服务器,一手资源推荐平台

CircleCI警告安全漏洞轮换你的秘密!

网络安全 快米云 来源:28U.CC 64浏览

圈子

软件开发服务 CircleCI 披露了一起安全事件,并敦促用户轮换他们的秘密。

CI/CD 平台吹捧其用户群包括超过 100 万工程师,他们依赖该服务来实现构建的“速度和可靠性”。

CircleCI 就此事件向用户发出警告

根据 CircleCI 用户收到的电子邮件通知,CircleCI 表示目前正在调查一起安全事件。

在公司完成调查之前,敦促用户谨慎地轮换存储在 CircleCI 中的所有秘密。

CircleCI 安全事件邮件通知
CircleCI 正在向用户发送有关安全事件的电子邮件 dotty )

CircleCI 首席技术官 Rob Zuber 在周三发布的一份简明公告中表示:“我们将为您提供有关此事件的最新信息以及我们的回应。”

“在这一点上,我们相信我们的系统中没有活跃的未经授权的行为者;但是,出于谨慎考虑,我们希望确保所有客户也采取某些预防措施来保护您的数据。”

建议客户轮换的秘密包括存储为项目环境变量或上下文的秘密。

对于使用 API 令牌的项目,CircleCI 已使这些令牌无效,用户将被要求更换它们

安全工程师 Daniel Hückmann看到了与攻击相关的 IP 地址之一 (54.145.167.181)。这些信息可能会帮助事件响应者调查他们的环境。

此外,这家 DevOps 公司建议用户审核其内部日志,了解 2022 年 12 月 21 日至 2023 年 1 月 4 日期间发生的未经授权的访问。

违反 CircleCI 的“可靠性”更新

具有讽刺意味的是,措辞表明 CircleCI 在 12 月 21 日遭到破坏——同一天它发布了“可靠性更新”,以加强其改善服务的承诺。

上述可靠性更新本身是在 2022 年 4 月开始的一系列类似更新之后进行的,当时 CircleCI 承认其可靠性没有达到用户的期望。

“在 CircleCI,我们的使命是管理变革,以便软件团队能够更快地创新。但最近,我们知道我们的可靠性没有达到客户的期望,”Zuber 当时写道。

2022 年 9 月,CircleCI 在管道页面“一天的大部分时间”不可用后发布了另一个此类更新,影响了许多团队管理他们的工作量。

这些更新是在过去几年 CircleCI 的一系列安全问题之后进行的。

2019年年中, CircleCI 因 第三方供应商的妥协而导致数据泄露。这导致用户数据遭到泄露,包括与用户的 GitHub 和 Bitbucket 帐户关联的用户名和电子邮件地址,以及他们的 IP 地址、组织名称、repo URL 等。

2022 年,威胁行为者被发现通过 发送给用户的虚假 CircleCI 电子邮件通知窃取 GitHub 帐户:

CircleCI 2022 网络钓鱼
2022 年出现的 CircleCI 钓鱼邮件(CircleCI)

这些网络钓鱼尝试不一定是新的妥协造成的,当时 CircleCI保证它仍然是安全的的。但是,威胁行为者经常使用从较早的违规行为(例如 2019 年违规行为)中获得的电子邮件地址来针对受影响公司的客户进行网络钓鱼诈骗。

关于周三的安全事件披露,CircleCI 对由此可能造成的任何不便表示歉意。该公司计划在调查结束后的未来几天内分享更多细节。

更新,1 月 5 日,01:30 AM ET:添加了与攻击相关的 IOC(IP 地址)。

转载请注明:VPS资讯_海外云服务器资讯_海外服务器资讯_IDC新闻 » CircleCI警告安全漏洞轮换你的秘密!