CircleCI zachęca klientów do rotacji tajemnic po incydencie związanym z bezpieczeństwem

CircleCI, urodzona w Ameryce firma zajmująca się tworzeniem oprogramowania, ogłosiła zagrożenie bezpieczeństwa i w związku z tym wzywa użytkowników do rotacji swoich tajemnic.

CircleCI ostrzega użytkowników po problemie z bezpieczeństwem

Amerykańska platforma DevOps CircleCI wydała ostrzeżenie dla swoich użytkowników, aby wymieniali swoje tajemnice po wystąpieniu incydentu bezpieczeństwa. Ta platforma CI/CD jest popularna wśród zespołów programistów, zapewniając ciągłą integrację i dostarczanie w celu szybkiego tworzenia kodu. Ponad milion osób i tysiące firm korzysta z tego narzędzia, chociaż są one teraz ostrzegane po tym incydencie dotyczącym bezpieczeństwa.

W poście na blogu CircleCI dyrektor ds. technologii, Rob Zuber, powiedział użytkownikom, aby „natychmiast wymieniali wszelkie tajemnice przechowywane w CircleCI”, które „mogą być przechowywane w zmiennych środowiskowych projektu lub w kontekstach”.

Circle zwróciło się również do Twittera, aby ostrzec klientów o tym problemie.

Zuber napisał we wspomnianym poście na blogu, że klienci powinni „przeglądać wewnętrzne dzienniki swoich systemów pod kątem nieautoryzowanego dostępu” od 21 grudnia 2022 r. do 4 stycznia 2023 r. Alternatywnie użytkownicy mogą przeglądać swoje wewnętrzne dzienniki po rotacji swoich tajemnic. Ponadto Zuber wspomniał, że wszystkie tokeny Project API zostały unieważnione i dlatego użytkownicy muszą je wymienić.

CircleCI nie przekazało szczegółowych informacji na temat incydentu związanego z bezpieczeństwem

Chociaż CircleCI powiadomiło użytkowników o problemie z bezpieczeństwem i zaoferowało porady dotyczące ochrony danych, nie ujawniono jeszcze żadnych informacji na temat natury problemu. Wygląda jednak na to, że CircleCI zamierza podać więcej szczegółów na temat incydentu w najbliższej przyszłości (jak stwierdził Rob Zuber w swoim wpisie na blogu poświęconym tej sprawie).

To nie jest pierwszy incydent związany z bezpieczeństwem CircleCI

Chociaż nie znamy szczegółów omawianego tutaj incydentu bezpieczeństwa, wiemy, że CircleCI miało już wcześniej do czynienia z naruszeniami.

W 2019 roku firma ucierpiała w wyniku infiltracji przez zewnętrznego dostawcę usług analitycznych. Operatorowi ataku udało się zdobyć nazwy użytkowników, adresy e-mail, nazwy oddziałów, adresy URL repozytoriów i adresy IP. W tamtym czasie firma ostrzegała użytkowników, aby przejrzeli zarówno swoje repozytorium, jak i nazwy oddziałów.

Podejmij działanie, jeśli jesteś użytkownikiem CircleCI

Jeśli zdarzy ci się korzystać z CircleCI, warto zastanowić się nad radami udzielonymi przez firmę po tym problemie z bezpieczeństwem. Rotacja poufnych danych i przeglądanie wewnętrznych dzienników może pomóc w zabezpieczeniu się przed tym możliwym zagrożeniem bezpieczeństwa.