Os clientes potenciais da plataforma Codecov, usada para testar código, podem incluir:
O CEO da plataforma Jerrod Engelberg em seuO recurso explicava que o invasor obteve acesso não autorizado ao script Bash Uploader da empresa e o modificou, o que lhe permitiu potencialmente obter acesso a quaisquer credenciais, tokens ou chaves armazenados nos ambientes de integração contínua do cliente, bem como a quaisquer serviços e armazenamentos de dados . Os dados resultantes foram então enviados a um servidor de terceiros fora do Codecov.
O Bash Uploader da empresa também é usado em três uploaders relacionados: o uploader Codecov-actions para Github, o Codecov CircleCl Orb e o Codecov Bitrise Step. Todos eles sofreram também.
“O hacker obteve acesso devido a um erro no processocriando uma imagem Docker Codecov que lhe permitiu extrair as credenciais necessárias para modificar nosso script Bash Uploader ”, disse Engelberg. "Imediatamente depois de saber do problema, Codecov protegeu e corrigiu o script vulnerável e começou a investigar qualquer impacto potencial sobre os usuários."
Após investigar o incidente, a empresadeterminou que o invasor fez alterações periodicamente no script do Bash Uploader desde 31 de janeiro deste ano. Codecov tomou conhecimento do hack em 1º de abril, quando um cliente descobriu e relatou uma inconsistência no Bash Uploader.
“Recomendamos fortemente que as pessoas afetadasos usuários irão reutilizar imediatamente todas as suas credenciais, tokens ou chaves localizadas em variáveis de ambiente em seus processos de CI que estavam usando um dos Uploaders Bash da Codecov ”, concluiu Engelberg.
Veja também:
- Criou o primeiro mapa preciso do mundo. O que há de errado com todo mundo?
- Os cientistas decodificaram sinais estranhos do espaço
- Urano recebeu o status de planeta mais estranho do sistema solar. Por quê?