Razvijači mobilne platforme , koja je naslijedila CyanogenMod, o otkrivanju tragova hakiranja infrastrukture projekta. Napominje se da je haker u 6 sati ujutro (MSK) 3. svibnja uspio dobiti pristup glavnom poslužitelju sustava centraliziranog upravljanja konfiguracijom iskorištavanjem neispravljene ranjivosti. U ovom trenutku provodi se ispitivanje incidenta i detalji još nisu dostupni.
samo da napad nije utjecao na ključeve za generiranje digitalnih potpisâ, sustav izrade i izvorne kodove platforme — ključevi na poslužiteljima koji su potpuno odvojeni od glavne infrastrukture, upravljane putem SaltStack, a izrade su zaustavljene iz tehničkih razloga 30. travnja. Sudeći prema podacima na stranici razvijači su već obnovili poslužitelj s sustavom recenziranja koda Gerrit, stranicu i wiki. Poslužitelji za izrade (builds.lineageos.org), portal za preuzimanje datoteka (download.lineageos.org), e-mail poslužitelji i sustav koordinacije preusmjeravanja na zrcala ostaju isključeni.
Napad je postao moguć zato što mrežni port (4506) za pristup SaltStack blokiran za vanjske zahtjeve vatrozidom — haker je samo trebao pričekati pojavu kritične ranjivosti u SaltStack i iskoristiti je prije nego što administratori instaliraju zakrpu. Svakome korisniku SaltStack se preporučuje hitno ažuriranje svojih sustava i provjera na tragove hakiranja.
Sudeći po svemu, napadi putem SaltStack nisu se ograničili samo na hakiranje LineageOS i postali su masovni — tijekom dana razni korisnici, koji nisu stigli ažurirati SaltStack, otkrili su kompromitaciju svojih infrastruktura s pohranom koda za rudarenje ili backdoorova na poslužiteljima. Uključujući sličan napad na infrastrukturu sustava za upravljanje sadržajem , koji je pogodio Ghost(Pro) stranice i naplatu (navodno, brojevi kreditnih kartica nisu pogođeni, ali hashovi korisničkih lozinki mogli su dospjeti u ruke napadača).
Dana 29. travnja objavljena su , koja su ispravila i dvije ranjivosti (informacije o ranjivostima objavljene su 30. travnja), koje su dobile najvišu razinu opasnosti, jer su dostupne bez autentifikacije daljinsko izvršavanje koda kako na upravljačkom hostu (salt-master), tako i na svim serverima kojima se upravlja preko njega.
- Prva ranjivost () uzrokovana je nedostatkom odgovarajućih provjera prilikom poziva metoda klase ClearFuncs u procesu salt-master. Ranjivost omogućuje udaljenom korisniku pristup nekim metodama bez autentifikacije. Između ostalog, kroz problematične metode napadač može dobiti token za pristup s root pravima na master serveru i pokrenuti bilo koje naredbe na upravljanim hostovima na kojima je pokrenut demon . Zakrpa koja uklanja ovu ranjivost objavljena je prije 20 dana, ali nakon njenog primjene pojavljivali su se , što je dovodilo do kvarova i narušavanja sinhronizacije datoteka.
- Druga ranjivost () omogućuje pristup metodama kroz manipulaciju s klasom ClearFuncs putem slanja specijalno oblikovanih putanja, što može biti korišteno za potpuni pristup proizvoljnim direktorijima u FS master servera s root pravima, ali zahtijeva autentificirani pristup (sličan pristup može se dobiti uz pomoć prve ranjivosti i koristiti drugu ranjivost za potpunu kompromise svih infrastruktura).
Izvor: opennet.ru
