Entwickler der mobilen Plattform , die CyanogenMod ersetzt hat, über die Entdeckung von Hacks in der Infrastruktur des Projekts. Es wird berichtet, dass der Angreifer am 3. Mai um 6 Uhr morgens (MSK) Zugriff auf den Hauptserver des Systems zur zentralisierten Konfigurationsverwaltung erlangte, indem er eine ungepatchte Schwachstelle ausnutzte. Der Vorfall wird derzeit untersucht, Details sind noch nicht verfügbar.
Es wird jedoch bestätigt, dass der Angriff nicht die Schlüssel zur Erstellung digitaler Signaturen, das Build-System und den Quellcode der Plattform betraf — die Schlüssel auf Hosts gespeichert, die vollständig von der Hauptinfrastruktur getrennt sind, die über SaltStack verwaltet wird, und die Builds wurden aus technischen Gründen am 30. April eingestellt. Laut den Informationen auf der Seite haben die Entwickler bereits den Server mit dem Code-Review-System Gerrit, die Website und das Wiki wiederhergestellt. Die Server für Builds (builds.lineageos.org), das Datei-Download-Portal (download.lineageos.org), die Mail-Server und das System zur Koordination der Mirrors bleiben jedoch abgeschaltet.
Der Angriff war möglich, weil der Netzwerkport (4506) für den Zugriff auf SaltStack wurde für externe Anfragen durch die Firewall blockiert – der Angreifer musste nur auf das Auftreten einer kritischen Schwachstelle in SaltStack warten und diese ausnutzen, bevor die Administratoren das Update mit dem Patch installieren. Allen Nutzern von SaltStack wird dringend empfohlen, ihre Systeme sofort zu aktualisieren und nach Hinweisen auf einen Hack zu suchen.
Offensichtlich sind die Angriffe über SaltStack nicht auf den Hack von LineageOS beschränkt und haben massive Ausmaße angenommen – im Laufe des Tages wurden verschiedene Nutzer, die SaltStack nicht rechtzeitig aktualisiert hatten, mit der Entdeckung von Kompromittierungen ihrer Infrastrukturen konfrontiert, dabei wurde Code zum Mining oder Backdoors auf den Servern platziert. Darunter auch ein ähnlicher Hack der Infrastruktur des Content-Management-Systems , der die Ghost(Pro)-Webseiten und die Abrechnung betraf (es wird behauptet, dass die Kreditkartennummern nicht betroffen waren, aber die Hashes der Benutzerdaten von Ghost könnten in die Hände der Angreifer gelangt sein).
Am 29. April wurden veröffentlicht, die und behebten (Informationen zu den Schwachstellen wurden am 30. April veröffentlicht), die als äußerst kritisch eingestuft wurden, da sie ohne Authentifizierung Remote code execution on both the controlling host (salt-master) and all managed servers can occur.
- The first vulnerability () is caused by insufficient checks when calling methods of the ClearFuncs class during the salt-master process. This vulnerability allows a remote user to access certain methods without authentication. Through these problematic methods, an attacker can obtain a token that grants root access to the master server and execute any commands on the managed hosts running the . A patch to address this vulnerability was released 20 days ago, but after its implementation, issues arose, leading to failures and file synchronization problems.
- The second vulnerability () ermöglicht es, über Manipulationen mit der Klasse ClearFuncs auf Methoden zuzugreifen, indem spezifisch formatierte Pfade übergeben werden. Dies kann genutzt werden, um vollständigen Zugriff auf beliebige Verzeichnisse im Filesystem des Master-Servers mit Root-Rechten zu erlangen, erfordert jedoch authentifizierten Zugang (ein solcher Zugang kann durch die erste Schwachstelle erlangt werden, und die zweite Schwachstelle kann zur vollständigen Kompromittierung der gesamten Infrastruktur verwendet werden).
Quelle: opennet.ru
