Desenvolvedores da plataforma móvel , que sucedeu o CyanogenMod, sobre a identificação de vestígios de invasão da infraestrutura do projeto. Observa-se que, às 6 horas da manhã (MSK) do dia 3 de maio, o atacante conseguiu acessar o servidor principal do sistema de gerenciamento centralizado de configurações por meio da exploração de uma vulnerabilidade não corrigida. No momento, está em andamento a análise do incidente e os detalhes ainda não estão disponíveis.
apenas que o ataque não afetou as chaves para a formação de assinaturas digitais, o sistema de compilação e os códigos fonte da plataforma — as chaves em hosts completamente separados da infraestrutura principal, gerenciada através do SaltStack, e as compilações foram interrompidas por razões técnicas em 30 de abril. Judging by the data on the page os desenvolvedores já restauraram o servidor com o sistema de revisão de código Gerrit, o site e a wiki. Permanecem desligados o servidor com as compilações (builds.lineageos.org), o portal para download de arquivos (download.lineageos.org), os servidores de e-mail e o sistema de coordenação para espelhos.
O ataque foi possível porque a porta de rede (4506) para acesso ao SaltStack bloqueada para solicitações externas pelo firewall — o atacante apenas precisava esperar o aparecimento de uma vulnerabilidade crítica no SaltStack e explorá-la antes que os administradores instalassem a atualização com a correção. Todos os usuários do SaltStack são recomendados a atualizar urgentemente seus sistemas e verificar a presença de vestígios de invasão.
Pelo que parece, os ataques através do SaltStack não se limitaram à invasão do LineageOS e tiveram um caráter massivo — ao longo do dia, diferentes usuários que não conseguiram atualizar o SaltStack, identificaram a compromissão de suas infraestruturas, com o código para mineração ou backdoors hospedados em seus servidores. Incluindo sobre uma invasão semelhante à infraestrutura do sistema de gerenciamento de conteúdo , que afetou os sites Ghost(Pro) e de cobrança (afirma-se que os números de cartões de crédito não foram comprometidos, mas os hashes das senhas dos usuários do Ghost podem ter caído nas mãos dos atacantes).
No dia 29 de abril, foram atualizações da plataforma SaltStack e , nas quais foram corrigidas (as informações sobre as vulnerabilidades foram publicadas em 30 de abril), às quais foi atribuído o mais alto nível de gravidade, pois permitem execução remota de código tanto no host de gerenciamento (salt-master) quanto em todos os servidores gerenciados por ele.
- A primeira vulnerabilidade () é causada pela ausência de verificações adequadas ao chamar métodos da classe ClearFuncs durante o processo salt-master. A vulnerabilidade permite que um usuário remoto acesse certos métodos sem autenticação. Inclusive, através dos métodos problemáticos, o atacante pode obter um token para acesso com permissões de root ao servidor master e executar quaisquer comandos nos hosts atendidos, onde o daemon está em execução. O patch que corrige essa vulnerabilidade foi há 20 dias, mas após sua aplicação surgiram , levando a falhas e interrupções na sincronização dos arquivos.
- A segunda vulnerabilidade () permite, por meio de manipulações com a classe ClearFuncs, acessar métodos ao transmitir caminhos formatados de uma certa forma, que podem ser usados para obter acesso completo a diretórios arbitrários no sistema de arquivos do servidor master com permissões de root, mas requer acesso autenticado (esse acesso pode ser obtido através da primeira vulnerabilidade e usado para comprometer completamente toda a infraestrutura).
Fonte: opennet.ru
