FulcrumSec 的安全研究人员公开披露了 PingCAP 的 TiDB Cloud（一个托管式分布式数据库平台）遭受重大攻击。根据披露内容，攻击者成功窃取了约 10.6 TB 的数据，包含近 500 万个文件。据报道，泄露内容包括完整的 TiDB Cloud 控制平面、计费和财务资产、源代码，以及客户连接到该产品的四年历史记录，其中包括应用程序服务器的 IP 地址。
这张图片标识了泄露报告中提到的 PingCAP TiDB Cloud 平台。
研究人员声称，此次数据外泄是由于 PingCAP 云基础设施缺乏可见性造成的。他们表示，他们利用在 PingCAP 自身代码库中提交的凭据（具体为 GCP 服务账号密钥和 Azure 服务主体）建立了生产控制平面数据库的复制流。据称，该管道在长达 22 天的时间里每 6 小时重新导出一次 TiDB Cloud 运行核心的每一个表，且未被察觉。被盗数据包括 115,308 个明文客户 API 密钥（其中 42,612 个处于激活状态）、包含客户业务逻辑的 2,060 万条原始 SQL 语句，以及 180,046 个租户组织的记录。
除了技术基础设施外，泄露事件还暴露了敏感的商业和身份数据。这包括数千个付费租户的 HubSpot 和 Stripe 记录、NetSuite 收入账本，以及网关访问日志的“目标地图”。研究人员还强调了 PingCAP 团队自己在 2022 年记录的一个关键安全缺陷：一个漏洞允许客户组织中的任何成员（包括仅具有计费权限的角色）无条件重置该组织内所有集群的根密码。研究人员声称，该缺陷在泄露发生前四年就已为人所知，这可能导致客户集群被完全接管。此外，披露内容还包含了内部疏忽的证据，例如支持工程师将生产凭据粘贴到 Jira 工单中，并附带包含 AWS 根密钥和 GitHub 个人访问令牌等敏感客户信息的日志。
虽然 PingCAP 的官方网站强调其被 Atlassian、Pinterest 和 Rakuten 等大型公司使用，但 FulcrumSec 的报告明确指出其中几家实体也在受影响的租户之中。披露内容还包括 PingCAP 购买的“开发者情报图谱”，该图谱将哈希用户 ID 与腾讯、华为和字节跳动等大型科技公司工程师的个人电子邮件和 LinkedIn 个人资料联系起来。此次泄露突显了多租户云环境中的重大风险，特别是内部工单系统中密钥的处理问题，以及生产环境中已知安全漏洞的持续存在。
目前尚不清楚有多少外泄的凭据仍处于激活状态，或者泄露中提到的特定客户是否已成功轮换了他们的密钥。研究人员表示，在 10.6 TB 的总外泄数据中，还将有更多数据在后续阶段公布。
证据： - 泄露涉及 10.6 TB 数据的外泄，包括 115,308 个明文客户 API 密钥和 2,060 万条原始 SQL 语句（主要）。 - 攻击者利用在 PingCAP 自身代码库中发现的凭据（GCP 服务账号密钥和 Azure 服务主体）建立了复制流（主要）。 - 2022 年的一份内部安全工单 (SECURITY-22) 记录了任何组织成员都可以无条件重置所有集群的根密码（主要）。 - 发现支持工程师将生产凭据和敏感日志粘贴到 Jira 工单中（主要）。 - 泄露内容包括网关访问日志的“目标地图”，显示了客户连接量和应用服务器 IP 地址（主要）。