Heroku fuerza el restablecimiento de la contraseña del usuario

La subsidiaria propiedad de Salesforce, Heroku, reconoció el jueves que el robo de tokens OAuth de integración de GitHub involucró además el acceso no autorizado a una base de datos interna de clientes.

La compañía, en una notificación actualizada , reveló que se abusó de un token comprometido para violar la base de datos y "exfiltrar las contraseñas cifradas y saladas de las cuentas de usuario de los clientes".

Como consecuencia, Salesforce dijo que está restableciendo todas las contraseñas de los usuarios de Heroku y asegurando que se actualicen las credenciales potencialmente afectadas. También enfatizó que las credenciales internas de Heroku se rotaron y se implementaron detecciones adicionales.

La campaña de ataque, que GitHub descubrió el 12 de abril, estaba relacionada con un actor no identificado que aprovechaba tokens de usuario de OAuth robados emitidos a dos integradores de OAuth de terceros, Heroku y Travis-CI, para descargar datos de docenas de organizaciones, incluido NPM.

La línea de tiempo de los eventos compartidos por la plataforma en la nube es la siguiente:

7 de abril de 2022 : el actor de amenazas obtiene acceso a una base de datos de Heroku y descarga los tokens de acceso de OAuth del cliente almacenados que se utilizan para la integración de GitHub.

8 de abril de 2022 : el atacante enumera los metadatos sobre los repositorios de los clientes utilizando los tokens robados.

9 de abril de 2022 : el atacante descarga un subconjunto de repositorios privados de Heroku de GitHub

GitHub, la semana pasada, caracterizó el ataque como altamente dirigido y agregó que el adversario "solo enumeraba organizaciones para identificar cuentas a las que apuntar selectivamente para enumerar y descargar repositorios privados".

Desde entonces, Heroku revocó todos los tokens de acceso y eliminó la compatibilidad con la implementación de aplicaciones de GitHub a través del Panel de Heroku para asegurarse de que "la integración sea segura antes de que volvamos a habilitar esta funcionalidad".

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta