Grafana回应攻击事件：调查未发现代码篡改或客户数据泄露的证据

4月28日，开源数据可视化工具Grafana回应近期攻击事件。攻击者利用GitHub Action配置漏洞，篡改工作流窃取了少量访问令牌，并从五个私有仓库中提取环境变量。Grafana已采取措施：禁用所有公共仓库工作流、轮换暴露令牌、验证凭证失效状态、审计内部工作流并保留访问日志以备调查。目前未发现代码被修改、生产系统遭未经授权访问或客户数据泄露的情况。此次攻击与Mandiant报告的“凭证潜伏”手法类似。Grafana计划强化CI/CD安全措施，包括集成Zizmor等检测工具。