GitBook раскрыл цепочку взлома сервиса документации: ошибка в системе единого входа SSO позволила атакующему выдавать себя за сотрудников, а ключи интеграций привели его к рабочей инфраструктуре. Разбор опубликован вечером 4 ноября; сама атака произошла 2–3 ноября.

По данным компании, через сессии сотрудников атакующий получил учётные данные неправильно настроенного приложения GitHub. Это открыло внутренние репозитории, затем — ключ Cloudflare. Через него стали доступны секреты рабочей среды, а служебная учётная запись дала полный доступ к инфраструктуре.

Целью, судя по расследованию GitBook, был один клиент, но доступ распространялся шире. Атакующий мог действовать от имени GitBook в подключённых репозиториях GitHub и GitLab — только там, где клиенты сами разрешили доступ приложению. Компания не смогла установить, совершал ли он в них какие-либо действия. Все клиентские данные GitBook рассматривает как раскрытые из предосторожности; это не подтверждение их массовой кражи.

Для остановки атаки GitBook отключил затронутые служебные аккаунты и примерно на 16 часов остановил приложение. Компания сообщила об исправлении использованных уязвимостей и замене инфраструктурных ключей и управляемых ею клиентских секретов. Масштаб действий атакующего в репозиториях клиентов остаётся неизвестным.