A CircleCI, um serviço de desenvolvimento de software nascido nos Estados Unidos, anunciou uma ameaça à segurança e está pedindo aos usuários que troquem seus segredos como resultado.
CircleCI avisa usuários após problema de segurança
A plataforma americana de DevOps, CircleCI, emitiu um aviso para seus usuários alternarem seus segredos após sofrerem um incidente de segurança. Essa plataforma de CI/CD é popular entre as equipes de software, fornecendo integração e entrega contínuas para o rápido criação de código. Mais de um milhão de pessoas e milhares de empresas usam essa ferramenta, embora agora estejam sendo avisadas sobre esse incidente de segurança.
Em um Postagem no blog CircleCI, o diretor de tecnologia Rob Zuber disse aos usuários para "rodar imediatamente todos e quaisquer segredos armazenados no CircleCI", que "podem ser armazenados em variáveis de ambiente de projeto ou em contextos".
A Circle também foi ao Twitter para alertar os clientes sobre esse problema.
Zuber escreveu na postagem do blog mencionada acima que os clientes devem "analisar os logs internos de seus sistemas para qualquer acesso não autorizado" de 21 de dezembro de 2022 a 4 de janeiro de 2023. Como alternativa, os usuários podem revisar seus logs internos após alternar seus segredos. Além disso, Zuber mencionou que todos os tokens da API do projeto foram invalidados e, portanto, precisam ser substituídos pelos usuários.
A CircleCI não forneceu detalhes sobre o incidente de segurança
Embora a CircleCI tenha notificado os usuários sobre um problema de segurança e tenha oferecido conselhos para protegendo dados, ainda não foram divulgadas informações sobre a natureza do problema. No entanto, parece que a CircleCI pretende fornecer mais detalhes sobre o incidente em um futuro próximo (conforme afirmado por Rob Zuber em sua postagem no blog sobre o assunto).
Este não é o primeiro incidente de segurança da CircleCI
Embora não conheçamos os detalhes do incidente de segurança discutido aqui, sabemos que a CircleCI já lidou com violações antes.
Em 2019, a empresa sofreu uma violação por meio da infiltração de um fornecedor terceirizado de análise. O operador do ataque conseguiu obter nomes de usuário, endereços de e-mail, nomes de filiais, URLs de repositório e endereços IP. Na época, a empresa alertou os usuários a revisarem os nomes de seus repositórios e filiais.
Tome uma atitude se você for um usuário do CircleCI
Se você usar o CircleCI, vale a pena considerar os conselhos fornecidos pela empresa após esse problema de segurança. Girar seus segredos e revisar logs internos pode ajudá-lo a se proteger contra essa possível ameaça à segurança.