Beberapa jam yang lalu, pesan-pesan berikut dikirimkan ke beberapa pengguna DockerHub:
“Pada hari Kamis, 25 April 2019, kami menemukan akses tidak sah ke salah satu basis data DockerHub, yang menyimpan bagian dari data pengguna nonkeuangan. Setelah terdeteksi, kami segera mengambil semua yang diperlukan untuk mengamankan data pengguna.
Dan sekarang kami ingin berbagi informasi yang dapat kami temukan selama penyelidikan, termasuk akun DockerHub mana yang terpengaruh dan tindakan apa yang harus diambil pemiliknya sekarang.
Inilah yang berhasil kami temukan:
Dalam waktu singkat akses tidak sah ke database DockerHub, data rahasia sekitar 190.000 akun (kurang dari 5% pengguna layanan) dapat diungkapkan. Data tersebut mencakup nama pengguna dan hash kata sandi dari sebagian kecil pengguna di atas, serta token GitHub dan BitBucket yang digunakan untuk perakitan wadah otomatis.
Apa yang harus dilakukan sekarang:
- Kami meminta pengguna untuk mengubah kata sandi DockerHub dan akun lainnya menggunakan kata sandi yang sama.
- Untuk pengguna yang menggunakan rakitan otomatis yang dapat memengaruhi ini, kami mereset token dan kunci akses. Kami juga meminta mereka untuk memeriksa repositori mereka untuk mengetahui aktivitas mencurigakan baru-baru ini.
- Untuk mempelajari cara menyelidiki aktivitas mencurigakan pada akun GitHub dan BitBucket Anda dalam 24 jam terakhir, buka help.github.com/en/articles/reviewing-your-security-log dan bitbucket.org/blog/new-audit -logs-beri-Anda-siapa-apa-kapan-dan-di mana
- Ini dapat memengaruhi build Anda saat ini dari layanan perakitan otomatis kami. Anda juga mungkin perlu memutuskan koneksi dan menghubungkan kembali akun GitHub dan BitBucket Anda. Ini dijelaskan secara rinci di sini .
Kami, pada gilirannya, akan meningkatkan sistem keamanan kami dan merevisi kebijakan kami. Kami juga menyiapkan metrik tambahan untuk melacak kemungkinan aktivitas ilegal di masa mendatang.
Kami masih menyelidiki insiden itu dan akan memberi tahu Anda saat detail baru tersedia. "
Seperti biasa, kami memeriksa email kami sendiri, akun kami di layanan yang ditentukan, kami membuat kata sandi lagi. Ketika informasi baru muncul, kami akan memperbarui posting ini.