Kaj se je zgodilo
OVHcloud, francoski ponudnik gostovanja in oblačnih storitev, je potrdil, da je napadalec kompromitiral GitHub račun enega od sodelavcev pri odprtokodnem projektu OVHcloud CLI. Z njim je v ponedeljek, 19. oktobra, nadomestil prenosljive arhive pri petih obstoječih izdajah orodja z zlonamerno zgrajeno različico, namenjeno kraji skrivnosti, shranjenih na disku vsakega računalnika, kjer bi se orodje pognalo.
Po navedbah The Hacker News so bile zlonamerne datoteke na GitHubu dostopne največ 94 minut, od 12.47 do 14.21 UTC. Cyber Security News navaja nekoliko drugačen časovni okvir, in sicer da so se kompromitirane datoteke pojavile ob 14.47 in bile odkrite ter blokirane ob 16.21. Glede na razlike med viri natančen čas ostaja nekoliko nejasen, dejstvo pa je, da je šlo za kratko časovno okno, znotraj katerega je bil napad opažen in zaustavljen.
Na sumljivo spremembo je opozorila stranka, ki je zaznala nenavadne spremembe pri izdajah, OVHcloud pa je nato zlonamerne datoteke blokiral. Izvršni direktor OVHcloud Octave Klaba je sporočil, da so prizadete izdaje v0.11.0, v0.12.0, v0.13.0, v0.14.0 in v0.15.0, medtem ko je izdaja v0.10.0 ostala čista. Podjetje je objavilo novo, varno izdajo v0.16.0, ki je na voljo na uradni strani projekta na GitHubu in je označena kot nespremenljiva, kar pomeni, da objavljenih datotek izdaje ni več mogoče spreminjati. Začetna preverjanja OVHcloud niso odkrila dodatnih prizadetih repozitorijev, zato je potrjeni obseg napada omejen na projekt CLI in ne na širšo organizacijo podjetja na GitHubu ali na njegovo oblačno platformo.
Kaj to pomeni za slovenska in evropska podjetja
OVHcloud je eden večjih evropskih ponudnikov oblačnih storitev, njegovo CLI orodje pa razvijalci uporabljajo za avtomatizacijo upravljanja oblačnih virov, kar pogosto vključuje dostop do občutljivih poverilnic in konfiguracijskih podatkov. Podjetja, ki so v obdobju napada prenesla in uporabila eno od prizadetih različic, bi lahko imela na prizadetih strojih izpostavljene skrivnosti, kot so API ključi ali dostopni žetoni. Dogodek znova opozarja, da je tveganje pri odprtokodnih dobavnih verigah lahko prisotno tudi pri uveljavljenih ponudnikih, kadar je ogrožen en sam razvijalski račun.
Priporočeni ukrepi
- Preverite, ali ste med 19. oktobrom prenesli ali namestili katero od izdaj OVHcloud CLI v0.11.0 do v0.15.0.
- Če ste eno od teh različic uporabljali, zamenjajte vse poverilnice in skrivnosti, ki so bile dostopne na istem stroju.
- Posodobite na uradno izdajo v0.16.0, ki je označena kot nespremenljiva in varna.
- Spremljajte morebitna nadaljnja uradna sporočila OVHcloud glede obsega incidenta.
Vprašanja in odgovori
Je bila ogrožena celotna infrastruktura OVHcloud? Po dosedanjih preverjanjih OVHcloud ni odkril dodatnih prizadetih repozitorijev, zato je potrjeni obseg omejen na projekt CLI.
Katere različice so bile prizadete? Gre za izdaje v0.11.0, v0.12.0, v0.13.0, v0.14.0 in v0.15.0, medtem ko je v0.10.0 ostala čista.
Kaj naj naredim, če sem orodje prenesel v tistem obdobju? Prenesite novo, varno izdajo v0.16.0 in zamenjajte vse skrivnosti, ki bi lahko bile izpostavljene na prizadetem stroju.
Pogosta vprašanja
Kaj se je zgodilo z OVHcloud CLI?
Napadalec je prevzel GitHub račun sodelavca in zamenjal arhive pri petih izdajah orodja z zlonamerno kodo, ki krade skrivnosti s diska.
Katere različice OVHcloud CLI so bile prizadete?
Prizadete so bile izdaje v0.11.0, v0.12.0, v0.13.0, v0.14.0 in v0.15.0, medtem ko je v0.10.0 ostala čista.
Kaj naj uporabniki storijo?
Posodobite na varno izdajo v0.16.0 in zamenjajte vse skrivnosti, ki so bile morda dostopne na stroju, kjer je teklo prizadeto orodje.
Sorodne objave
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- Kampanja GhostAction ogrozila okoli 1.900 računov GitHub in ciljala na več kot 30.000 repozitorijev