Il y a quelques heures, les messages suivants ont été envoyés à certains utilisateurs de DockerHub:
«Le jeudi 25 avril 2019, nous avons découvert un accès non autorisé à l'une des bases de données DockerHub, qui stocke une partie des données non financières des utilisateurs. Après la détection, nous avons immédiatement pris tout le nécessaire pour sécuriser les données des utilisateurs.
Et maintenant, nous aimerions partager les informations que nous avons pu trouver lors de l'enquête, y compris les comptes DockerHub qui ont été affectés et les mesures que leurs propriétaires devraient prendre maintenant.
Voici ce que nous avons réussi à découvrir:
Au cours d'une courte période d'accès non autorisé à la base de données DockerHub, des données confidentielles d'environ 190 000 comptes (moins de 5% des utilisateurs du service) ont pu être divulguées. Les données incluent les noms d'utilisateur et les hachages de mot de passe d'un petit pourcentage des utilisateurs ci-dessus, ainsi que les jetons GitHub et BitBucket utilisés pour l'assemblage automatique des conteneurs.
Que faut-il faire maintenant:
- Nous demandons aux utilisateurs de modifier les mots de passe de DockerHub et de tout autre compte en utilisant le même mot de passe.
- Pour les utilisateurs qui ont utilisé des assemblages automatiques qui pourraient affecter cela, nous réinitialisons les jetons et les clés d'accès. Nous leur demandons également de vérifier dans leurs référentiels toute activité suspecte récente.
- Pour savoir comment enquêter sur une activité suspecte sur vos comptes GitHub et BitBucket au cours des dernières 24 heures, accédez à help.github.com/en/articles/reviewing-your-security-log et bitbucket.org/blog/new-audit -logs-vous-donner-qui-quoi-quand-et-où
- Cela peut affecter vos versions actuelles de notre service d'assemblage automatique. Vous devrez peut-être également déconnecter et reconnecter vos comptes GitHub et BitBucket. Ceci est décrit en détail ici .
À notre tour, nous améliorerons nos systèmes de sécurité et réviserons nos politiques. Nous avons également mis en place des mesures supplémentaires pour suivre les éventuelles activités illégales à l'avenir.
Nous enquêtons toujours sur l'incident et vous informerons lorsque de nouveaux détails seront disponibles. »
Comme d'habitude, nous vérifions notre propre courrier, nos comptes dans les services spécifiés, nous trouvons à nouveau des mots de passe. Lorsque de nouvelles informations apparaissent, nous mettrons à jour ce message.