{"id":80245,"date":"2020-05-04T19:42:04","date_gmt":"2020-05-04T17:42:04","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack"},"modified":"2020-05-04T19:42:04","modified_gmt":"2020-05-04T17:42:04","slug":"vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/vzlom-infrastruktury-lineageos-cherez-uyazvimost-v-saltstack","title":{"rendered":"Hack van de infrastructuur van LineageOS via een kwetsbaarheid in SaltStack","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ontwikkelaars van het mobiele platform LineageOS<\/a><\/noindex>, dat CyanogenMod heeft vervangen, waarschuwden<\/a><\/noindex> over het opsporen van sporen van een inbraak in de infrastructuur van het project. Het wordt opgemerkt dat de aanvaller om 6 uur 's ochtends (MSK) op 3 mei toegang heeft gekregen tot de hoofdsysteemserver van het centrale configuratiebeheersysteem SaltStack<\/a><\/noindex> door misbruik te maken van een niet-opgeloste kwetsbaarheid. Momenteel wordt het voorval onderzocht en zijn er nog geen details beschikbaar. <\/p>\n

Er wordt gerapporteerd<\/a><\/noindex> Gelukkig heeft de aanval de sleutels voor het genereren van digitale handtekeningen, het buildsysteem en de sourcecode van het platform niet aangetast \u2014 sleutels werden geplaatst<\/a><\/noindex> op hosts die volledig gescheiden waren van de hoofdinfrastructuur, beheerd via SaltStack, en de builds werden om technische redenen op 30 april stopgezet. Gezien de gegevens op de pagina status.lineageos.org<\/a><\/noindex> hebben de ontwikkelaars de server met het code review-systeem Gerrit, de website en de wiki al hersteld. De servers met builds (builds.lineageos.org), het downloadportaal (download.lineageos.org), de mailservers en het co\u00f6rdinatiesysteem voor mirror-doorsluitingen blijven uitgeschakeld. <\/p>\n

De aanval werd mogelijk omdat de netwerkpoort (4506) voor toegang tot SaltStack niet was<\/a><\/noindex> is geblokkeerd voor externe verzoeken door de firewall \u2014 de aanvaller moest wachten op een kritieke kwetsbaarheid in SaltStack en deze uitbuiten voordat de beheerders de update met de patch installeerden. Alle gebruikers van SaltStack wordt aanbevolen dringend hun systemen bij te werken en op tekenen van inbraak te controleren.<\/p>\n

Blijkbaar was de aanval via SaltStack niet beperkt tot de inbraak op LineageOS en nam deze massale proporties aan \u2014 gedurende de dag hebben verschillende gebruikers die SaltStack niet op tijd hebben bijgewerkt, , dat tegen 2021 al 94% van de wereldwijde datacenter-werklasten gevirtualiseerd zal zijn. Volgens<\/a><\/noindex> compromittering van hun infrastructuren met het hosten van mijnbouwcode of backdoors op hun servers. Dit omvat wordt gerapporteerd<\/a><\/noindex> een soortgelijke inbraak in de infrastructuur van het contentmanagementsysteem Ghost<\/a><\/noindex>, dat de websites Ghost(Pro) en de facturering trof (er wordt beweerd dat de creditcardnummers niet zijn aangetast, maar dat de hashes van de Ghost-wachtwoorden in handen van de aanvallers terechtgekomen konden zijn).<\/p>\n

Op 29 april zijn er updates voor het SaltStack-platform<\/a><\/noindex> uitgegeven, 3000.2<\/a><\/noindex> en 2019.2.4<\/a><\/noindex>waarin twee kwetsbaarheden<\/a><\/noindex> kwetsbaarheden werden verholpen (informatie over de kwetsbaarheden werd op 30 april gepubliceerd), die de hoogste risico-classificatie hebben gekregen, omdat ze toegang verlenen zonder authenticatie, en daardoor<\/a><\/noindex> op afstand uitgevoerde code zowel op de beheercursus (salt-master) als op alle servers die hierdoor worden beheerd.<\/p>\n