{"id":80245,"date":"2020-05-04T19:42:04","date_gmt":"2020-05-04T17:42:04","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack"},"modified":"2020-05-04T19:42:04","modified_gmt":"2020-05-04T17:42:04","slug":"vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack","title":{"rendered":"Hackeo de la infraestructura de LineageOS a trav\u00e9s de una vulnerabilidad en SaltStack","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Desarrolladores de la plataforma m\u00f3vil LineageOS<\/a><\/noindex>, que reemplaz\u00f3 a CyanogenMod, advirtieron<\/a><\/noindex> sobre la detecci\u00f3n de rastros de hackeo de la infraestructura del proyecto. Se se\u00f1ala que a las 6 de la ma\u00f1ana (MSK) del 3 de mayo, el atacante logr\u00f3 acceder al servidor principal del sistema de gesti\u00f3n centralizada de configuraciones SaltStack<\/a><\/noindex> explotando una vulnerabilidad no corregida. Actualmente, se est\u00e1 investigando el incidente y los detalles a\u00fan no est\u00e1n disponibles. <\/p>\n

Se informa<\/a><\/noindex> Sin embargo, el ataque no afect\u00f3 las claves para la generaci\u00f3n de firmas digitales, el sistema de compilaci\u00f3n y el c\u00f3digo fuente de la plataforma \u2014 claves se encontraban<\/a><\/noindex> en hosts completamente separados de la infraestructura principal, gestionada a trav\u00e9s de SaltStack, y las compilaciones fueron detenidas por razones t\u00e9cnicas el 30 de abril. Seg\u00fan los datos en la p\u00e1gina status.lineageos.org<\/a><\/noindex> los desarrolladores ya han restaurado el servidor con el sistema de revisi\u00f3n de c\u00f3digo Gerrit, el sitio y la wiki. Siguen desconectados los servidores de compilaci\u00f3n (builds.lineageos.org), el portal de descarga de archivos (download.lineageos.org), los servidores de correo y el sistema de coordinaci\u00f3n de redirecci\u00f3n a espejos. <\/p>\n

El ataque fue posible porque el puerto de red (4506) para acceder a SaltStack no estaba<\/a><\/noindex> bloqueadas para solicitudes externas por el cortafuegos \u2014 al atacante solo le quedaba esperar que apareciera una vulnerabilidad cr\u00edtica en SaltStack y explotarla antes de que los administradores instalaran la actualizaci\u00f3n con la correcci\u00f3n. Se recomienda a todos los usuarios de SaltStack que actualicen urgentemente sus sistemas y verifiquen si hay rastros de intrusi\u00f3n.<\/p>\n

Parece que los ataques a trav\u00e9s de SaltStack no se limitaron al hackeo de LineageOS y tomaron un car\u00e1cter masivo \u2014 durante el d\u00eda, varios usuarios que no actualizaron SaltStack, se destaca<\/a><\/noindex> detectaron compromisos en sus infraestructuras al encontrar c\u00f3digo de miner\u00eda o puertas traseras en sus servidores. Incluyendo se informa<\/a><\/noindex> un hackeo similar de la infraestructura del sistema de gesti\u00f3n de contenido Ghost<\/a><\/noindex>, que afect\u00f3 a los sitios de Ghost(Pro) y la facturaci\u00f3n (se afirma que los n\u00fameros de tarjetas de cr\u00e9dito no se vieron comprometidos, pero los hashes de contrase\u00f1as de usuarios de Ghost pudieron haber ca\u00eddo en manos de los atacantes).<\/p>\n

El 29 de abril se publicaron<\/a><\/noindex> actualizaciones de la plataforma SaltStack 3000.2<\/a><\/noindex> y 2019.2.4<\/a><\/noindex>, en las que se corrigieron dos vulnerabilidades<\/a><\/noindex> (la informaci\u00f3n sobre las vulnerabilidades se public\u00f3 el 30 de abril), a las que se les asign\u00f3 el nivel m\u00e1s alto de peligrosidad, ya que permiten el acceso sin autenticar. permiten<\/a><\/noindex> la ejecuci\u00f3n remota de c\u00f3digo tanto en el host de control (salt-master) como en todos los servidores gestionados a trav\u00e9s de \u00e9l.<\/p>\n