CircleCI pede aos clientes que troquem segredos após incidente de segurança

A CircleCI, um serviço de desenvolvimento de software nascido nos Estados Unidos, anunciou uma ameaça à segurança e está pedindo aos usuários que troquem seus segredos como resultado.

CircleCI avisa usuários após problema de segurança

A plataforma americana de DevOps, CircleCI, emitiu um aviso para seus usuários alternarem seus segredos após sofrerem um incidente de segurança. Essa plataforma de CI/CD é popular entre as equipes de software, fornecendo integração e entrega contínuas para a criação rápida de código. Mais de um milhão de pessoas e milhares de empresas usam essa ferramenta, embora agora estejam sendo avisadas sobre esse incidente de segurança.

Em uma postagem no blog da CircleCI , o diretor de tecnologia Rob Zuber disse aos usuários para “rodar imediatamente todo e qualquer segredo armazenado na CircleCI”, que “pode ser armazenado em variáveis ​​de ambiente de projeto ou em contextos”.

A Circle também foi ao Twitter para alertar os clientes sobre esse problema.

Zuber escreveu na postagem do blog mencionada anteriormente que os clientes devem “analisar os logs internos de seus sistemas para qualquer acesso não autorizado” de 21 de dezembro de 2022 a 4 de janeiro de 2023. Como alternativa, os usuários podem revisar seus logs internos após alternar seus segredos. Além disso, Zuber mencionou que todos os tokens da API do projeto foram invalidados e, portanto, precisam ser substituídos pelos usuários.

A CircleCI não forneceu detalhes sobre o incidente de segurança

Embora a CircleCI tenha notificado os usuários sobre um problema de segurança e tenha oferecido conselhos para proteção de dados, nenhuma informação foi divulgada sobre a natureza do problema. No entanto, parece que a CircleCI pretende fornecer mais detalhes sobre o incidente em um futuro próximo (conforme afirmado por Rob Zuber em sua postagem no blog sobre o assunto).

Este não é o primeiro incidente de segurança da CircleCI

Embora não conheçamos os detalhes do incidente de segurança discutido aqui, sabemos que a CircleCI já lidou com violações antes.

Em 2019, a empresa sofreu uma violação por meio da infiltração de um fornecedor terceirizado de análise. O operador do ataque conseguiu obter nomes de usuário, endereços de e-mail, nomes de filiais, URLs de repositório e endereços IP. Na época, a empresa alertou os usuários a revisarem os nomes de seus repositórios e filiais.

Tome uma atitude se você for um usuário do CircleCI

Se você usar o CircleCI, vale a pena considerar os conselhos fornecidos pela empresa após esse problema de segurança. Girar seus segredos e revisar logs internos pode ajudá-lo a se proteger contra essa possível ameaça à segurança.