B46/100
情報漏えい · 中
サイバーセキュリティクラウドでGitHub認証情報流出 開発環境に不正アクセス
ティアB · 今週中にパッチ – 次のスプリントで対応
影響を受ける人： サイバーセキュリティクラウドの開発用GitHub管理領域と顧客個人情報
ティアBの理由： 悪用確認済み または 公開エクスプロイト
影響範囲
攻撃
被害
修正
悪用確認済み · シークレットの流出
要点
- サイバーセキュリティクラウドは11月12日、開発に使うGitHub上の管理領域に不審なアクセスがあったと発表した
- 従業員が業務で使っていたGitHubの認証情報1件が外部に流出したことが、外部機関からの情報提供で確認された
- 個人情報の漏えいのおそれがあるが、原因と影響範囲は調査中である
なぜ重要か
GitHubの認証情報1件の流出でも、管理領域への不正アクセスや顧客情報の漏えいにつながりうるため、開発者はリポジトリや権限の管理状況を見直す必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中3項目が「はい」
| はい | 開発者に影響 | サイバーセキュリティ.com: 開発に使うGitHub上の管理領域に不審なアクセスがあったと報じられた。開発環境に関わる。 |
| いいえ | 基幹インフラ | GitHub本体ではなく、一社の従業員が使う認証情報1件の流出であるため該当しない。 |
| いいえ | 人気ツール | 報道はGitHub本体の脆弱性や侵害に触れておらず、対象は一社の認証情報流出である。 |
| はい | 悪用確認済み | サイバーセキュリティ.com: 不審なアクセスがあったと発表。ITmedia: 認証情報1件の外部流出を確認と報じた。 |
| いいえ | 公開エクスプロイト | 両ソースとも、公開されたエクスプロイトや攻撃手順については一切触れていない。 |
| いいえ | 認証不要のリモート攻撃 | サイバーセキュリティ.com: 原因や影響範囲は調査中とあり、攻撃経路や必要条件は不明である。 |
| いいえ | 完全な乗っ取り | ソースには管理者権限の奪取やコード実行の記述がなく、確認されたのは認証情報の流出である。 |
| はい | シークレットの流出 | ITmedia: 従業員が業務で使うGitHub認証情報1件が外部に流出したことを確認したと報じた。 |
| いいえ | サプライチェーン | 悪意あるパッケージの公開や正規配布経路の侵害は報じられておらず、認証情報の流出にとどまる。 |
| いいえ | 修正なし | 両ソースとも修正やパッチの有無には触れておらず、修正が未公開とは報じられていない。 |
タイムライン
すべての報道 · ソース3件
- 53分前 ↗
Security NEXT
認証情報が漏洩、GitHub環境に不正アクセス - CSC - 16時間前 ↗
ITmedia NEWS 最新記事一覧
サイバーセキュリティクラウド、GitHubから顧客情報流出か 「セキュリティ企業として重く受け止め」 - 1日前 ↗
サイバーセキュリティ.com
サイバーセキュリティクラウドでGitHub認証情報1件が流出、顧客情報に漏えいのおそれ