Zhvilluesit e platformës mobile , që zëvendësoi CyanogenMod, për identifikimin e gjurmëve të thyerjes së infrastrukturës së projektit. Raportohet se në orën 6 të mëngjesit (MSK) më 3 maj, sulmuesi arriti të merrte akses në serverin kryesor të sistemit të menaxhimit të centralizuar të konfigurimit përmes shfrytëzimit të një dobësie të papërmirësuar. Tani është duke u hetuar incidenti dhe detajet ende nuk janë të disponueshme.
ndoshta sulmi nuk preku çelsat për krijimin e nënshkrimeve digjitale, sistemin e ndërtimit dhe kodet burimore të platformës — çelsat në hostet që ishin plotësisht të ndara nga infrastruktura kryesore, e cila menaxhohej përmes SaltStack, dhe ndërtimet ishin ndaluar për arsye teknike më 30 Prill. Duke u bazuar në të dhënat në faqen zhvilluesit tashmë e kanë rikuperuar serverin me sistemin e rishikimit të kodit Gerrit, faqen dhe wiki. Serverët e ndërtimit (builds.lineageos.org), portali për shkarkimin e skedarëve (download.lineageos.org), serverët e postës dhe sistemi i koordinimit për shfaqjen në pasqyra mbeten të çaktivizuar.
Sulmi u bë i mundur për shkak se porta rrjetore (4506) për akses në SaltStack u bllokua për kërkesat e jashtme nga firewall-i — sulmuesi duhej të priste shfaqen e një dobësie kritike në SaltStack dhe ta shfrytëzonte atë përpara se administratorët të instalonin azhurnimin me rregullimin. Të gjithë përdoruesve të SaltStack ju rekomandohet të azhurnojnë menjëherë sistemet e tyre dhe të verifikojnë për shenjat e një thesari.
Duket se sulmet përmes SaltStack nuk u kufizuan vetëm në hackimin e LineageOS dhe morën një karakter masiv — brenda një dite, përdorues të ndryshëm që nuk kishin arritur të azhurnonin SaltStack, detecting the compromise of their infrastructures with code for mining or backdoors placed on the servers. Including about the similar hacking of the content management system , which affected Ghost(Pro) sites and billing (it is claimed that credit card numbers were not compromised, but hashes of Ghost users' passwords may have fallen into the hands of attackers).
On April 29, there were updates to the SaltStack platform dhe , which eliminated (information about the vulnerabilities was published on April 30), assigned the highest level of danger, as they allow ekzekutimi i largë aktivizuar si në hostin e menaxhimit (salt-master), ashtu edhe në të gjitha serverat e menaxhuar prej tij.
- Vulnerabiliteti i parë () shkaktohet nga mungesa e verifikimeve të duhura gjatë thirrjes së metodave të klasës ClearFuncs në procesin e salt-master. Vulnerabiliteti lejon një përdorues të largët të ketë qasje në disa metoda pa autentifikim. Midis metodave problematike, sulmuesi mund të marrë një token për qasje me të drejta root në serverin master dhe të ekzekutojë çfarëdo komandash në hostet e shërbyera, në të cilat është aktivizuar demon . Patch-i për eliminimin e këtij vulnerabiliteti u lëshua 20 ditë më parë, por pas aplikimit të tij shfaqeshin , që çonin në crashes dhe narshimin e sinkronizimit të skedarëve.
- Vulnerabiliteti i dytë () lejonë të aksesosh metodat përmes manipulimeve me klasën ClearFuncs duke kaluar rrugë të caktuara, që mund të përdoren për qasje të plotë në katalogë të rastësishëm në FS mastërr-server me të drejta root, por kërkon praninë e aksesit të autentifikimit (një qasje e tillë mund të fitohet përmes ndjeshmërisë së parë dhe të përdoret ndjeshmëria e dytë për komprometimin e plotë të gjithë infrastrukturës).
Burimi: opennet.ru
