搜索

[16688] 2021-04-19_代码测试平台Codecov遭持续入侵，漏洞利用长达数月

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2021-04-19_代码测试平台Codecov遭持续入侵，漏洞利用长达数月 代 码 测 试 平 台 C o d e c o v 遭 持 续 入 侵 ， 漏 洞 利 用 长 达 数 月 k i r a z h o u   F r e e B u f   2 0 2 1 - 0 4 - 1 9 C o d e C o v 漏 洞 是 否 会 漏 洞 是 否 会 带 来 下 一 个 大 型 软 件 供 应 链 攻 击 事 件 ？ 带 来 下 一 个 大 型 软 件 供 应 链 攻 击 事 件 ？ 最 新 消 息 ， 软 件 审 计 平 台 C o d e c o v 遭 黑 客 入 侵 ， 该 事 件 可 能 影 响 其 2 . 9 万 名 客 户 ， 并 且 引 发 大 量 公 司 连 锁 数 据 泄 露 ， 造 成 又 一 起 ” 供 应 链 “ 重 大 安 全 危 机 。 下 游 用 户 面 临 安 全 危 机 下 游 用 户 面 临 安 全 危 机 1 月 3 1 日 开 始 ， 黑 客 瞄 准 C o d e c o v ， 利 用 C o d e c o v 的 D o c k e r 映 像 创 建 过 程 中 出 现 的 错 误 ， 非 法 获 得 了 其 B a s h   U p l o a d e r 脚 本 的 访 问 权 限 并 且 进 行 了 修 改 。 而 这 意 味 着 攻 击 者 很 有 可 能 导 出 存 储 在 C o d e c o v 用 户 的 持 续 集 成 （ C I ） 环 境 中 的 信 息 ， 最 后 将 信 息 发 送 到 C o d e c o v 基 础 架 构 之 外 的 第 三 方 服 务 器 。 严 格 来 说 ， B a s h   U p l o a d e r 脚 本 被 篡 改 ， 将 导 致 ： 用 户 执 行 B a s h   U p l o a d e r 脚 本 时 ， 通 过 其 C I 运 行 器 传 递 的 任 何 凭 据 ， 令 牌 或 密 钥 都 可 以 被 攻 击 者 访 问 。 攻 击 者 可 以 使 用 这 些 凭 据 、 令 牌 或 密 钥 访 问 任 何 服 务 、 数 据 存 储 和 应 用 程 序 代 码 。 使 用 B a s h   U p l o a d e r s 将 覆 盖 范 围 上 传 到 C I 中 的 C o d e c o v 的 存 储 库 的 g i t 远 程 信 息 （ 原 始 存 储 库 的 U R L ） 。 此 次 事 件 对 于 C o d e c o v 的 用 户 来 说 无 异 于 无 妄 之 灾 。 首 先 ， C o d e c o v 并 不 是 一 家 公 开 上 市 的 公 司 ， 只 有 数 十 名 员 工 ， 年 收 入 为 数 百 万 美 元 ， 相 比 S o l a r W i n d s 和 M i c r o s o f t 显 得 不 具 备 太 大 的 吸 引 力 。 因 此 ， 可 以 合 理 判 断 攻 击 者 入 侵 该 平 台 更 多 是 作 为 供 应 链 攻 击 的 考 虑 ， 获 取 其 客 户 的 访 问 权 限 对 攻 击 者 来 说 更 有 价 值 。 据 悉 ， 由 于 C o d e c o v 被 行 业 内 多 家 公 司 用 来 测 试 代 码 错 误 和 漏 洞 ， 其 客 户 包 括 了 消 费 品 集 团 宝 洁 公 司 、 网 络 托 管 公 司 G o D a d d y   I n c 、 华 盛 顿 邮 报 和 澳 大 利 亚 软 件 公 司 A t l a s s i a n   C o r p o r a t i o n   P L C 等 。 虽 然 暂 时 还 没 有 相 关 受 害 者 发 表 声 明 ， 但 攻 击 者 很 可 能 已 经 有 所 ” 收 获 “ 。 入 侵 持 续 至 少 入 侵 持 续 至 少 2 个 月 个 月 攻 击 从 1 月 3 1 日 就 开 始 进 行 ， 但 第 一 个 客 户 发 现 不 对 劲 时 已 经 是 4 月 1 日 ， 这 表 示 被 入 侵 的 软 件 在 长 达 数 月 时 间 里 正 常 流 通 ， 潜 在 受 害 者 无 数 。 目 前 ， 美 国 联 邦 调 查 局 正 在 调 查 此 事 ， 但 暂 时 没 有 公 开 对 此 事 进 行 详 细 说 明 。 C o d e c o v 则 已 经 对 可 能 受 影 响 的 脚 本 进 行 了 保 护 和 修 复 ， 并 且 给 受 影 响 的 用 户 发 了 电 子 邮 件 。 不 过 暂 时 没 有 透 露 这 些 用 户 的 信 息 。
C o d e c o v 入 侵 事 件 的 威 胁 程 度 或 许 可 以 与 S o l a r W i n d s 黑 客 事 件 媲 美 ， 而 相 比 以 往 更 为 频 繁 的 供 应 链 攻 击 ， 进 一 步 证 明 代 码 审 查 和 签 名 变 得 极 为 重 要 ， 而 围 绕 这 些 代 码 签 名 密 钥 的 存 储 和 处 置 的 透 明 性 将 是 建 立 对 渠 道 信 任 的 关 键 一 步 。 最 后 ， 建 议 所 有 受 影 响 的 用 户 立 即 在 使 用 C o d e c o v 的 B a s h U p l o a d e r s 程 序 的 C I 进 程 中 重 新 回 滚 其 环 境 变 量 中 的 所 有 凭 据 、 令 牌 或 密 钥 。 精 精 彩 彩 推 推 荐 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理