Разработчиците на мобилната платформа , която дойде на мястото на CyanogenMod, за откритията на следите от хакерска намеса в инфраструктурата на проекта. Отбелязва се, че в 6 часа сутринта (MSK) на 3 май атакуващият е успял да получи достъп до основния сървър на системата за централизирано управление на конфигурацията чрез експлоатация на неизправена уязвимост. В момента се провежда разследване на инцидента и подробностите в момента са недостъпни.
само, че атаката не е засегнала ключовете за генериране на цифрови подписи, системата за изграждане и изходния код на платформата — ключовете на хостинги, напълно отделени от основната инфраструктура, управлявана чрез SaltStack, а изгражданията са били спряни по технически причини на 30 април. Съдейки по данните на страницата разработчиците вече са възстановили сървъра със системата за преглед на кода Gerrit, сайта и wiki. Остават изключени сървърът със изграждания (builds.lineageos.org), портала за изтегляне на файлове (download.lineageos.org), имейл сървърите и системата за координация на проброса към огледала.
Атаката стана възможна благодарение на това, че мрежовият порт (4506) за достъп до SaltStack блокиран за външни запитвания от защитната стена — атакуващият е трябвало да изчака поява на критична уязвимост в SaltStack и да я експлоатира преди администраторите да инсталират актуализацията с поправка. На всички потребители на SaltStack се препоръчва спешно да обновят своите системи и да проверят за следи от хакерска намеса.
Явно атаките чрез SaltStack не са се ограничили само до хакването на LineageOS и са взели масов характер — в течение на деня различни потребители, които не са успели да обновят SaltStack, откриха компрометации на своите инфраструктури с наличието на код за копаене или бекдори на сървърите. Включително от аналогично хакване на инфраструктурата на системата за управление на съдържанието , която засегна сайтовете Ghost(Pro) и фактурирането (заявява се, че номерата на кредитните карти не са пострадали, но хеши на паролите на потребителите на Ghost са могли да попаднат в ръцете на атакуващите).
На 29 април бяха актуализации на платформата SaltStack и , в които бяха отстранени (информацията за уязвимостите беше публикувана на 30 април), им придаден е най-високият уровень на опасност, тъй като те позволяват отдалено изпълнение на код както на управляващия хост (salt-master), така и на всички управлявани чрез него сървъри.
- Първата уязвимост () е причинена от липса на задълбочена проверка при извикване на методите на класа ClearFuncs в процеса salt-master. Уязвимостта позволява на отдалечен потребител да получи достъп до някои методи без удостоверяване. Чрез проблемните методи нападателят може да получи токен за достъп с права root към master-сървъра и да изпълни всякакви команди на обслужваните хостове, на които е стартиран демонът . Патчът, отстраняващ тази уязвимост, беше преди 20 дни, но след неговото прилагане се появиха , водещи до сривове и нарушаване на синхронизацията на файловете.
- Втората уязвимост () позволява чрез манипулации с класа ClearFuncs да се получи достъп до методите чрез предаване на определено оформени пътища, което може да се използва за пълен достъп до произволни директории в файловата структура на master-сървъра с права root, но изисква наличието на удостоверен достъп (такъв достъп може да бъде получен чрез първата уязвимост и да се използва втората уязвимост за пълна компрометация на цялата инфраструктура).
Източник: opennet.ru
