Vývojári mobilnej platformy , ktorá nahradila CyanogenMod, o zistení stôp hackovania infraštruktúry projektu. Uvádza sa, že o 6:00 (MSK) 3. mája útočníkovi podarilo získať prístup k hlavnému serveru systému centralizovaného riadenia konfigurácie využitím neopravenej zraniteľnosti. V súčasnosti prebieha vyšetrovanie incidentu a podrobnosti zatiaľ nie sú k dispozícii.
iba, že útok sa nedotkol kľúčov na generovanie digitálnych podpisov, systému zostavovania a zdrojových kódov platformy – kľúče na hostiteľoch, ktoré boli úplne oddelené od hlavnej infraštruktúry riadenej cez SaltStack, a zostavovanie bolo z technických dôvodov zastavené 30. apríla. Podľa údajov na stránke vývojári už obnovili server so systémom recenzovania kódu Gerrit, webovú stránku a wiki. Odpojené zostávajú servery so zostavami (builds.lineageos.org), portál na sťahovanie súborov (download.lineageos.org), poštové servery a systém koordinácie preposielania na zrkadlá.
Útok bol možný vďaka tomu, že sieťový port (4506) pre prístup k SaltStack blokovaný pre vonkajšie požiadavky firewallom – útočníkovi stačilo počkať na výskyt kritickej zraniteľnosti v SaltStack a využiť ju skôr, ako administrátori nainštalujú aktualizáciu s opravou. Všetkým používateľom SaltStack sa odporúča naliehavo aktualizovať svoje systémy a skontrolovať prítomnosť stôp hackovania.
Zdá sa, že útoky cez SaltStack neboli obmedzené len na hackovanie LineageOS a mali masový charakter – v priebehu dňa rôzni používatelia, ktorí nestihli aktualizovať SaltStack, identifikovali kompromitáciu svojich infraštruktúr s umiestnením na serveroch kódu na ťažbu alebo backdoorov. Medzi nimi aj o podobnom hackovaní infraštruktúry systému riadenia obsahu , ktorý zasadol na weby Ghost(Pro) a billing (tvrdí sa, že čísla kreditných kariet neboli ohrozené, ale hashie hesiel používateľov Ghost sa mohli dostať do rúk útočníkov).
29. apríla boli aktualizácie platformy SaltStack a , v ktorých boli odstránené (informácie o zraniteľnostiach boli zverejnené 30. apríla), ktoré bol pridelený najvyšší úroveň nebezpečenstva, pretože umožňujú vzdialené vykonávanie kódu na riadiacom hoste (salt-master) aj na všetkých serveroch ním spravovaných.
- Prvá zraniteľnosť () je spôsobená nedostatočnými kontrolami pri vyvolávaní metód triedy ClearFuncs v procese salt-master. Zraniteľnosť umožňuje vzdialenému používateľovi získať prístup k niektorým metódam bez autentifikácie. Medzi iným, prostredníctvom problematických metód môže útočník získať token na prístup s právami root k master-serveru a spustiť akékoľvek príkazy na spravovaných hostoch, na ktorých beží démon . Záplata na odstránenie tejto zraniteľnosti bola pred 20 dňami, ale po jej aplikácii sa objavili , ktoré spôsobovali zlyhania a poruchy synchronizácie súborov.
- Druhá zraniteľnosť () umožňuje prostredníctvom manipulácie s triedou ClearFuncs získať prístup k metódam prenášaním špeciálne formátovaných cestách, čo môže byť využité na plný prístup k ľubovoľným adresárom v FS master-serveru s právami root, ale vyžaduje si autentifikovaný prístup (podobný prístup je možné získať pomocou prvej zraniteľnosti a použiť druhú zraniteľnosť na úplnú kompromitáciu celej infraštruktúry).
Zdroj: opennet.ru
