Udviklerne af den mobile platform , der kom som en afløser for CyanogenMod, om opdagelsen af spor efter hacking af projektets infrastruktur. Det fremgår, at klokken 06:00 (MSK) den 3. maj lykkedes det angriberen at få adgang til hovedserveren for det centraliserede konfigurationsstyringssystem gennem udnyttelse af en uoprettet sårbarhed. I øjeblikket er der en efterforskning af hændelsen, og detaljer er endnu ikke tilgængelige.
kun, at angrebet ikke berørte nøglerne til generering af digitale signaturer, byggesystemet og kildekoden til platformen — nøglerne på værter, der var helt adskilt fra den primære infrastruktur, der blev styret gennem SaltStack, og bygningerne blev stoppet af tekniske årsager den 30. april. Ifølge informationen på siden har udviklerne allerede genoprettet serveren med kodeskrevningssystemet Gerrit, hjemmesiden og wiki. Serveren med bygninger (builds.lineageos.org), portalen til filoverførsler (download.lineageos.org), mailserverne og systemet til koordinering af omdirigering til spejle er stadig offline.
Angrebet blev muligt, fordi netværksporten (4506) til adgang til SaltStack blokeret for eksterne forespørgsler af firewall — angriberen blev nødt til at vente på optræden af en kritisk sårbarhed i SaltStack og udnytte den, inden administratorerne kunne installere opdateringen med rettelsen. Alle brugere af SaltStack anbefales straks at opdatere deres systemer og kontrollere for spor efter hacking.
Tilsyneladende var angrebene gennem SaltStack ikke begrænset til hackingen af LineageOS og fik en massekarakter — i løbet af dagen rapporterede forskellige brugere, som ikke havde opdateret SaltStack, om opdagelsen af kompromittering af deres infrastrukturer med placering af kode til mining eller backdoors på serverne. I alt om det lignende hack af infrastrukturen til indholdsstyringssystemet , som berørte Ghost(Pro) hjemmesiderne og betalingssystemet (det hævdes, at kreditkortnumre ikke er blevet kompromitteret, men hasherne af brugernes adgangskoder i Ghost kunne være kommet i hænderne på angriberne).
Den 29. april blev der opdateringer til SaltStack-platformen og , hvoraf flere blev rettet mod (oplysninger om sårbarhederne blev offentliggjort den 30. april), hvilket fik den højeste farekategori, da de tillader fjernudførelse af kode både på kontrolhosten (salt-master) og på alle servere, der styres derfra.
- Den første sårbarhed () skyldes manglende tilstrækkelig kontrol ved kald af metoder fra klassen ClearFuncs under salt-master. Sårbarheden giver en fjernbruger adgang til visse metoder uden autentificering. Gennem problematiske metoder kan en angriber få en token til at få root-adgang til master-serveren og køre vilkårlige kommandoer på de administrerede værter, hvor daemonen kører. En patch til at udbedre denne sårbarhed blev 20 dage siden, men efter dens anvendelse dukkede der op , der førte til fejl og synkroniseringsproblemer med filer.
- Den anden sårbarhed () tillader gennem manipulation med klassen ClearFuncs at få adgang til metoder ved at indsætte specifikt formaterede stier, hvilket kan bruges til fuld adgang til vilkårlige kataloger i filsystemet på master-serveren med root-rettigheder, men kræver autentificeret adgang (sådan adgang kan fås ved hjælp af den første sårbarhed og anvende den anden sårbarhed til fuld kompromittering af hele infrastrukturen).
Kilde: opennet.ru
