{"id":80245,"date":"2020-05-04T19:42:04","date_gmt":"2020-05-04T17:42:04","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack"},"modified":"2020-05-04T19:42:04","modified_gmt":"2020-05-04T17:42:04","slug":"vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack","title":{"rendered":"Pirater l'infrastructure de LineageOS via une vuln\u00e9rabilit\u00e9 dans SaltStack","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

D\u00e9veloppeurs de la plateforme mobile LineageOS<\/a><\/noindex>, rempla\u00e7ant CyanogenMod, ont averti<\/a><\/noindex> concernant l'identification de traces de piratage de l'infrastructure du projet. Il est \u00e0 noter qu'\u00e0 6 heures du matin (MSK) le 3 mai, l'attaquant a r\u00e9ussi \u00e0 acc\u00e9der au serveur principal du syst\u00e8me de gestion centralis\u00e9e des configurations SaltStack<\/a><\/noindex> en exploitant une vuln\u00e9rabilit\u00e9 non corrig\u00e9e. Actuellement, l'incident est en cours d'analyse et les d\u00e9tails ne sont pas encore disponibles. <\/p>\n

Rapport\u00e9<\/a><\/noindex> Cependant, l'attaque n'a pas touch\u00e9 les cl\u00e9s n\u00e9cessaires \u00e0 la cr\u00e9ation des signatures num\u00e9riques, le syst\u00e8me de construction et les codes sources de la plateforme \u2014 les cl\u00e9s \u00e9taient h\u00e9berg\u00e9es<\/a><\/noindex> sur des h\u00f4tes compl\u00e8tement s\u00e9par\u00e9s de l'infrastructure principale, g\u00e9r\u00e9e via SaltStack, et les constructions ont \u00e9t\u00e9 arr\u00eat\u00e9es pour des raisons techniques le 30 avril. D'apr\u00e8s les donn\u00e9es sur la page status.lineageos.org<\/a><\/noindex> les d\u00e9veloppeurs ont d\u00e9j\u00e0 restaur\u00e9 le serveur avec le syst\u00e8me de r\u00e9vision de code Gerrit, le site web et le wiki. Restent d\u00e9connect\u00e9s le serveur des constructions (builds.lineageos.org), le portail de t\u00e9l\u00e9chargement de fichiers (download.lineageos.org), les serveurs mail et le syst\u00e8me de coordination de redirection vers les miroirs. <\/p>\n

L'attaque a \u00e9t\u00e9 rendue possible par le fait que le port r\u00e9seau (4506) pour l'acc\u00e8s \u00e0 SaltStack n'\u00e9tait pas<\/a><\/noindex> bloqu\u00e9es pour les demandes externes par le pare-feu \u2014 l'attaquant devait attendre l'apparition d'une vuln\u00e9rabilit\u00e9 critique dans SaltStack et l'exploiter avant que les administrateurs n'installent la mise \u00e0 jour corrective. Tous les utilisateurs de SaltStack sont fortement invit\u00e9s \u00e0 mettre \u00e0 jour leurs syst\u00e8mes et \u00e0 v\u00e9rifier des traces d'intrusion.<\/p>\n

Visiblement, les attaques via SaltStack ne se sont pas limit\u00e9es au piratage de LineageOS et ont pris une ampleur massive \u2014 durant la journ\u00e9e, divers utilisateurs qui n'avaient pas mis \u00e0 jour SaltStack, note<\/a><\/noindex> ont d\u00e9tect\u00e9 une compromission de leurs infrastructures avec l'h\u00e9bergement sur des serveurs de code pour le minage ou des portes d\u00e9rob\u00e9es. Y compris il a \u00e9t\u00e9 rapport\u00e9<\/a><\/noindex> une attaque similaire sur l'infrastructure du syst\u00e8me de gestion de contenu Ghost<\/a><\/noindex>, qui a touch\u00e9 les sites Ghost(Pro) et de facturation (il est affirm\u00e9 que les num\u00e9ros de carte de cr\u00e9dit n'ont pas \u00e9t\u00e9 affect\u00e9s, mais les hachages des mots de passe des utilisateurs de Ghost ont pu tomber entre les mains des attaquants).<\/p>\n

Le 29 avril, ont \u00e9t\u00e9 publi\u00e9es<\/a><\/noindex> des mises \u00e0 jour de la plateforme SaltStack, 3000.2<\/a><\/noindex> et 2019.2.4<\/a><\/noindex>dans lesquelles ont \u00e9t\u00e9 corrig\u00e9es deux vuln\u00e9rabilit\u00e9s<\/a><\/noindex> (des informations sur les vuln\u00e9rabil\u00e9t\u00e9s ont \u00e9t\u00e9 publi\u00e9es le 30 avril), qui ont re\u00e7u le niveau de danger le plus \u00e9lev\u00e9, car elles permettent d'acc\u00e9der sans authentification.<\/a><\/noindex> l'ex\u00e9cution distante de code tant sur l'h\u00f4te de gestion (salt-master) que sur tous les serveurs g\u00e9r\u00e9s par lui.<\/p>\n