A mobil platform fejlesztői , amely a CyanogenModot váltotta fel, bejelentették a projekt infrastruktúrájának feltörésére utaló nyomok felfedezését. Megjegyzik, hogy május 3-án reggel 6 órakor (MSK) a támadónak sikerült hozzáférnie a központi konfigurációs menedzsment rendszer fő szerveréhez a hibásan javított sebezhetőségen keresztül. Jelenleg az incidens vizsgálata folyamatban van, a részletek egyelőre nem állnak rendelkezésre.
csak azt, hogy a támadás nem érintette a digitális aláíró kulcsokat, a kiépítési rendszert és a platform forráskódját — a kulcsok a fő infrastruktúrától teljesen elválasztott hosztokon, amelyeket a SaltStack-en keresztül irányítanak, és a kiépítések technikai okok miatt április 30-án leálltak. A adatok alapján a fejlesztők már helyreállították a Gerrit kódértékelő rendszer szerverét, a weboldalt és a wikit. A leállított szerverek között szerepel a kiépítési szerver (builds.lineageos.org), a fájlok letöltési portálja (download.lineageos.org), a levelezőszerverek és a tükörátirányítási koordinációs rendszer.
A támadás lehetőségét az tette lehetővé, hogy a SaltStack-höz való hozzáférést biztosító hálózati port (4506) blokkolva a külső lekérdezések számára a tűzfallal — a támadó csak arra várt, hogy megjelenjen egy kritikus sebezhetőség a SaltStack-ben, és kihasználja azt, mielőtt a rendszergazdák telepítik a javítófrissítést. Minden SaltStack felhasználónak sürgősen frissítenie kell a rendszereit, és ellenőriznie kell a feltörés nyomait.
Úgy tűnik, hogy a SaltStack-en keresztüli támadások nem korlátozódtak a LineageOS feltörésére, és tömeges jelenséggé váltak — a nap folyamán különböző felhasználók, akik nem frissítették időben a SaltStack-et, böngésztek a saját infrastruktúráik kompromittálódásának nyomai között, amelyeken bányászati kódok vagy hátsó ajtók kerültek elhelyezésre. Köztük a tartalomkezelő rendszer , amely érintette a Ghost(Pro) weboldalakat és a számlázást (állítólag a hitelkártyaszámok nem sérültek, de a Ghost felhasználók jelszavas hash-ét a támadók kezébe kerülhetett).
Április 29-én kiadták amelyekben megszüntették és két sebezhetőséget engedélyezik távoli kódvégrehajtás a vezérlő hoszton (salt-master) és az összes általa kezelt szerveren.
- Az első sebezhetőség () a ClearFuncs osztály módszereinek hívása során elvárt megfelelő ellenőrzések hiányából adódik a salt-master-en. A sebezhetőség lehetővé teszi a távoli felhasználó számára, hogy néhány módszerhez hozzáférjen hitelesítés nélkül. A problémás módszereken keresztül a támadó hozzáférési tokent kaphat root jogokkal a master-szerverhez, és bármilyen parancsot végrehajthat azokon a kezelt hosztokon, ahol a demón fut. A sebezhetőség javítócsomagja visszafordítható
- , amelyek összeomlásokat és fájlok szinkronizációs problémákat okoztak.CVE-2020-11652
Forrás: opennet.ru
