Vývojáři mobilní platformy , která nahradila CyanogenMod, o zjištění stop poškození infrastruktury projektu. Bylo zaznamenáno, že v 6 hodin ráno (MSK) 3. května útočník získal přístup k hlavnímu serveru systému centralizovaného řízení konfigurace využitím nezabezpečené zranitelnosti. V současnosti probíhá analýza incidentu a podrobnosti zatím nejsou k dispozici.
jen to, že útok nezasáhl klíče pro generování digitálních podpisů, systém sestavení a zdrojové kódy platformy — klíče na hostitelích, které byly zcela oddělené od hlavní infrastruktury řízené přes SaltStack, a sestavení byla z technických důvodů zastavena 30. dubna. Soudě podle údajů na stránce vývojáři již obnovili server se systémem recenzování kódu Gerrit, web a wiki. Vypnuty zůstávají server se sestaveními (builds.lineageos.org), portál pro stahování souborů (download.lineageos.org), poštovní servery a systém koordinace směrování na zrcadla.
Útok se stal možným díky tomu, že síťový port (4506) pro přístup k SaltStack blokován pro vnější požadavky firewall — útočníkovi zůstávalo čekat na vznik kritické zranitelnosti v SaltStack a zneužít ji dříve, než administrátoři nainstalují aktualizaci s opravou. Všem uživatelům SaltStack se doporučuje naléhavě обновить své systémy a zkontrolovat přítomnost známek poškození.
Soudě podle všeho útoky přes SaltStack neomezily pouze na hackování LineageOS a měly hromadný charakter — během dne různý uživatelé, kteří nestačili aktualizovat SaltStack, zjistili kompromitaci svých infrastruktur s umístěním kódu na serverech pro těžbu nebo backdoory. Mezi nimi o obdobném hackování infrastruktury systému řízení obsahu , který zasáhl weby Ghost(Pro) a billing (tvrdí se, že čísla kreditních karet nebyla ohrožena, ale hashované hesla uživatelů Ghost mohla spadnout do rukou útočníků).
29. dubna byla aktualizace platformy SaltStack a , ve kterých byly odstraněny (informace o zranitelnostech byly publikovány 30. dubna), kterým byla přidělena nejvyšší úroveň nebezpečí, protože bez průchodu autentizace Vzdálené provádění kódu jak na ovládacím hostiteli (salt-master), tak na všech serverech spravovaných přes něj.
- První zranitelnost () je způsobena nedostatečnými kontrolami při volání metod třídy ClearFuncs na salt-masteru. Zranitelnost umožňuje vzdálenému uživateli získat přístup k některým metodám bez autentizace. Mezi jiným, prostřednictvím problematických metod může útočník získat token pro přístup s právy root na master-serveru a spustit libovolné příkazy na spravovaných hostitelích, na kterých běží démon . Oprava této zranitelnosti byla před 20 dny, ale po jejím uplatnění se objevily , které vedly k chybám a porušení synchronizace souborů.
- Druhá zranitelnost () umožňuje pomocí manipulací s třídou ClearFuncs získat přístup k metodám přes předání specificky formátovaných cest, což může být využito pro úplný přístup k libovolným adresářům v souborovém systému master-serveru s právy root, ale vyžaduje autentizovaný přístup (takový přístup lze získat pomocí první zranitelnosti a využít druhou zranitelnost pro plné kompromitování celé infrastruktury).
Zdroj: opennet.ru
