Araştırmacılar Baseten şirketinin GitHub depolarına erişim sağladı

Şirketin Strix uzmanları, model dağıtım platformu Baseten'in altyapısında kritik bir güvenlik açığı keşfetti. Docker görüntü derleme geçmişini analiz ederken uzmanlar, yönetici haklarına sahip geçerli bir kişisel erişim belirteci (PAT) buldu.

Bulunan anahtarı kullanmak, araştırmacılara GitHub şirketinin üretim ortamı üzerinde yalnızca 25 dakika içinde tam kontrol sağlamaya izin verdi. Sızıntı, müşteri depolarına ve AI hizmetlerinin dağıtımını yönetmek için kullanılan GitOps altyapısına erişim sağladı.

Baseten ekibi, rapora operatif olarak yanıt verdi ve tehlikeye atılan belirteci geri çağırdı, yetkisiz erişimi önledi. Olay, güvenlik denetiminin bir parçası olarak kaydedildi ve sonuçları Hacker News topluluğunda geniş bir tartışmaya neden oldu.

Bu durum, konteyner meta verilerine gizli verileri depolama risklerini vurgulamaktadır. Hassas verilerin当前 Docker görüntü sürümünden silinmesinden sonra bile, bunlar genellikle katman geçmişinde erişilebilir olarak kalır, bu da CI/CD otomasyon sistemlerini benzeri saldırılara karşı savunmasız bırakır.