{"id":80245,"date":"2020-05-04T19:42:04","date_gmt":"2020-05-04T17:42:04","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack"},"modified":"2020-05-04T19:42:04","modified_gmt":"2020-05-04T17:42:04","slug":"vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack","title":{"rendered":"Violazione dell'infrastruttura LineageOS tramite una vulnerabilit\u00e0 in SaltStack","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sviluppatori della piattaforma mobile LineageOS<\/a><\/noindex>, succeduta a CyanogenMod, hanno avvertito<\/a><\/noindex> sulla rilevazione di tracce di violazione dell'infrastruttura del progetto. Si osserva che alle 6 del mattino (MSK) del 3 maggio l'attaccante \u00e8 riuscito ad accedere al server principale del sistema di gestione centralizzata delle configurazioni SaltStack<\/a><\/noindex> attraverso lo sfruttamento di una vulnerabilit\u00e0 non corretta. Attualmente \u00e8 in corso un'analisi dell'incidente e i dettagli non sono ancora disponibili. <\/p>\n

Si riporta<\/a><\/noindex> tuttavia, l'attacco non ha coinvolto le chiavi per la generazione delle firme digitali, il sistema di build e i codici sorgente della piattaforma \u2014 le chiavi erano collocate<\/a><\/noindex> su host completamente separati dall'infrastruttura principale, gestita tramite SaltStack, e i build sono stati fermati per motivi tecnici il 30 aprile. A giudicare dai dati sulla pagina status.lineageos.org<\/a><\/noindex> i programmatori hanno gi\u00e0 ripristinato il server con il sistema di revisione del codice Gerrit, il sito e la wiki. Resta spento il server con i build (builds.lineageos.org), il portale per il download dei file (download.lineageos.org), i server di posta e il sistema di coordinamento per il mirroring. <\/p>\n

L'attacco \u00e8 stato possibile perch\u00e9 la porta di rete (4506) per l'accesso a SaltStack non era<\/a><\/noindex> bloccato per le richieste esterne dal firewall \u2014 l'attaccante doveva solo attendere l'emergere di una vulnerabilit\u00e0 critica in SaltStack e sfruttarla prima che gli amministratori installassero l'aggiornamento con la correzione. A tutti gli utenti di SaltStack si raccomanda di aggiornare urgentemente i propri sistemi e controllare la presenza di segni di compromissione.<\/p>\n

A quanto pare, gli attacchi tramite SaltStack non si sono limitati all'hacking di LineageOS e hanno assunto un carattere di massa \u2014 nel corso della giornata, vari utenti che non avevano aggiornato SaltStack, sottolineano<\/a><\/noindex> hanno rilevato compromissioni delle proprie infrastrutture con codice per mining o backdoor ospitato sui server. Inclusi \u00e8 riportato<\/a><\/noindex> simili attacchi all'infrastruttura del sistema di gestione dei contenuti Ghost<\/a><\/noindex>, che ha colpito i siti Ghost(Pro) e la fatturazione (si afferma che i numeri delle carte di credito non sono stati compromessi, ma le hash delle password degli utenti di Ghost potrebbero essere finite nelle mani degli attaccanti).<\/p>\n

Il 29 aprile sono stati rilasciati<\/a><\/noindex> gli aggiornamenti della piattaforma SaltStack 3000.2<\/a><\/noindex> e 2019.2.4<\/a><\/noindex>, nei quali sono state risolte due vulnerabilit\u00e0<\/a><\/noindex> le cui informazioni sono state pubblicate il 30 aprile, a cui \u00e8 stato assegnato il massimo livello di pericolo, in quanto consentono accesso senza autenticazione ad utenti non autorizzati.<\/a><\/noindex> esecuzione remota del codice sia sul server di controllo (salt-master) che su tutti i server gestiti tramite di esso.<\/p>\n