原文: https://fulcrumsec.vg/pingcap/
摘要:
 |
1
DT37 1 day ago
今天这是怎么了，到处都是爆炸的东西
|
 |
2
putaozhenhaochi 1 day ago
这不得赔破产
|
 |
3
BrbiwsFtd9zDGZqB OP @putaozhenhaochi 难说
https://www.pingcap.com/trust-hub/security/security-update-october-2026/ > 一家外部事件响应公司审查了 PingCAP 的生产系统，未发现攻击者在被审查的系统中运行命令或保持持久访问权限的证据. > 在外部律师和第三方取证专家的支持下，没有证据表明存储在 TiDB 中的数据受到影响 |
 |
4
Hozzz 1 day ago  1
漏的主要是 tidb 内部经营数据，数据库本身及客户的数据库不受影响
|
 |
5
utodea 1 day ago
> "We even stood up a replication feed of their own control-plane database using credentials committed in their own repositories — GCP service-account keys and an Azure service principal — and let their infrastructure deliver it to us. Every six hours, for the last twenty-two days of the campaign... that pipeline faithfully re-exported every table of the operational heart of TiDB Cloud — tenants, users, API keys, cluster credentials... Eighty-eight consecutive exports, not one detection event."
这写得还挺嚣张的... 或许大家真的需要类似 https://keyrotate.sh 的产品主要去发现环境、系统、仓库里都有哪些 api key 、秘钥，然后周期性自动地去轮换、失效它们。 这应该不是个例，在 AI 时代，感觉会一直上演。 |
 |
6
century 9h 11m ago
受害者已经出现了:
卡普空 CAPCOM ID 系统遭未授权访问，超 1177 万条信息泄露 https://m.ithome.com/html/1016695.htm 部分分析: - 泄露面：至少 214 个 Jira 条目、3,820 条内部销售群聊（ 2021-09-27 至 2026-09-01 ）、4 家公司 / 94 个联系人 / 32 个商机、2024 年 1–9 月账单、27 个月的观测用量分摊、2 份 GCP 运维操作记录。 - 最有价值的三类信息：① 租户→组织→项目→集群的完整映射；② 客户侧 AWS 账户号 + Secrets Manager 密钥路径；③ 内部销售群中 2022 年由 PingCAP 手工签发的完整 TiDB Cloud API Key （已打码）。  |
Select Language