Potentiële klanten van het Codecov-platform, dat wordt gebruikt voor het testen van code, kunnen zijn:
Platform CEO Jerrod Engelberg in zijnIn het beroep werd uitgelegd dat de aanvaller ongeautoriseerde toegang had gekregen tot het Bash Uploader-script van het bedrijf en het heeft aangepast, waardoor hij mogelijk toegang kon krijgen tot alle inloggegevens, tokens of sleutels die zijn opgeslagen in de continue integratieomgevingen van de klant, evenals tot alle services en gegevensopslag. . De resulterende gegevens werden vervolgens naar een externe server buiten Codecov gestuurd.
De Bash Uploader van het bedrijf wordt ook gebruikt in drie gerelateerde uploaders: de Codecov-actions-uploader voor Github, de Codecov CircleCl Orb en de Codecov Bitrise Step. Ze leden ook allemaal.
“De hacker heeft toegang gekregen door een fout in het proceshet maken van een Docker Codecov-image waarmee hij de inloggegevens kon extraheren die nodig zijn om ons Bash Uploader-script te wijzigen, ”zei Engelberg. "Meteen nadat het probleem bekend werd, heeft Codecov het kwetsbare script beveiligd en gerepareerd en is begonnen met het onderzoeken van mogelijke gevolgen voor gebruikers."
Na onderzoek van het incident heeft het bedrijfheeft vastgesteld dat een aanvaller sinds 31 januari van dit jaar regelmatig wijzigingen heeft aangebracht in het Bash Uploader-script. Codecov werd op 1 april bewust van de hack toen een klant een inconsistentie in de Bash Uploader ontdekte en rapporteerde.
“We raden de getroffenen ten zeerste aangebruikers zullen onmiddellijk al hun inloggegevens, tokens of sleutels in omgevingsvariabelen hergebruiken in hun CI-processen die een van Codecov's Bash Uploaders gebruikten, ”concludeerde Engelberg.
Zie ook:
- De eerste nauwkeurige kaart van de wereld gemaakt. Wat is er mis met de rest?
- Wetenschappers hebben vreemde signalen uit de ruimte gedecodeerd
- Uranus heeft de status van de vreemdste planeet in het zonnestelsel gekregen. Waarom?