Sviluppatori della piattaforma mobile , subentrato a CyanogenMod, sulla rilevazione di segni di violazione dell'infrastruttura del progetto. È stato segnalato che alle 6 del mattino (MSK) del 3 maggio un attaccante è riuscito ad accedere al server principale del sistema di gestione centralizzata delle configurazioni attraverso l'utilizzo di una vulnerabilità non corretta. Al momento si sta analizzando l'incidente e i dettagli non sono ancora disponibili.
solo che l'attacco non ha interessato le chiavi per la generazione delle firme digitali, il sistema di compilazione e i codici sorgente della piattaforma - le chiavi su host completamente isolati dall'infrastruttura principale, gestita tramite SaltStack, e le compilazioni sono state sospese per motivi tecnici il 30 aprile. A giudicare dai dati sulla pagina gli sviluppatori hanno già ripristinato il server con il sistema di revisione del codice Gerrit, il sito e la wiki. Rimangono disattivati il server delle compilazioni (builds.lineageos.org), il portale per il download dei file (download.lineageos.org), i server di posta e il sistema di coordinamento per il mirroring.
L'attacco è stato reso possibile dal fatto che la porta di rete (4506) per accedere a SaltStack bloccato per richieste esterne dal firewall — l'attaccante doveva solo aspettare la comparsa di una vulnerabilità critica in SaltStack e sfruttarla prima che gli amministratori installassero l'aggiornamento con la correzione. A tutti gli utenti di SaltStack si consiglia di aggiornare urgentemente i propri sistemi e di controllare la presenza di segni di compromissione.
A quanto pare, gli attacchi tramite SaltStack non si sono limitati all'hacking di LineageOS e hanno assunto un carattere di massa — durante la giornata, vari utenti che non erano riusciti ad aggiornare SaltStack, hanno rilevato la compromissione delle loro infrastrutture con il posizionamento su server di codice per mining o backdoor. Compreso un simile attacco all'infrastruttura del sistema di gestione dei contenuti , che ha colpito i siti Ghost(Pro) e la fatturazione (si afferma che i numeri delle carte di credito non siano stati compromessi, ma gli hash delle password degli utenti Ghost potrebbero essere caduti nelle mani degli aggressori).
Il 29 aprile sono state gli aggiornamenti della piattaforma SaltStack e , in cui sono state risolte (le informazioni sulle vulnerabilità sono state pubblicate il 30 aprile), classificate con il massimo livello di pericolo, poiché permettono l'esecuzione remota del codice sia sul server di controllo (salt-master) che su tutti i server gestiti attraverso di esso.
- La prima vulnerabilità () è causata dalla mancanza di adeguati controlli durante le chiamate ai metodi della classe ClearFuncs nel processo salt-master. La vulnerabilità consente a un utente remoto di accedere a certi metodi senza autenticazione. Tra l'altro, attraverso i metodi problematici, l'attaccante può ottenere un token per accedere con diritti root al server master e lanciare qualsiasi comando sugli host gestiti che eseguono il demone . La patch per risolvere questa vulnerabilità è stata rilasciata 20 giorni fa, ma dopo la sua applicazione sono emersi , che portano a crash e interruzioni nella sincronizzazione dei file.
- La seconda vulnerabilità () consente, attraverso le manipolazioni della classe ClearFuncs, di accedere ai metodi passando percorsi formattati in un certo modo. Questo può essere usato per avere accesso completo a directory arbitrarie nel file system del master server con diritti root, ma richiede una connessione autenticata (accesso simile può essere ottenuto tramite la prima vulnerabilità e utilizzare la seconda vulnerabilità per compromettere totalmente l'intera infrastruttura).
Fonte: opennet.ru
