Heroku 披露黑客入侵細節

Salesforce 旗下的 PaaS 服務 Heroku 披露了上個月遭到黑客入侵的細節。入侵發生在 4 月 7 日，攻擊者訪問了 Heroku 的一個數據庫，下載了儲存的客戶 GitHub 集成 OAuth 令牌。4 月 8 日攻擊者開始利用下載的 OAuth 令牌枚舉客戶軟件庫相關的元數據。4 月 9 日攻擊者下載了 Heroku 的私有庫子集，其中含有部分 Heroku 源代碼。GitHub 在 4 月 12 日發現了攻擊者的活動，次日通知了 Salesforce。4 月 16 日，Heroku 撤銷了所有 GitHub 集成 OAuth 令牌。之后的調查還發現相同的令牌被用于竊取客戶賬號的哈希和加鹽密碼。Heroku 所有客戶的密碼隨后被重置，并輪換了內部憑證。