Серед потенційних клієнтів платформи Codecov, яку використовують для тестування коду, могли виявитися
СЕО платформи Джеррод Енгельберг в своємузверненні пояснив, що зловмисник отримав несанкціонований доступ до сценарія Bash Uploader компанії і змінив його, що дозволило йому потенційно отримати доступ до будь-яких облікових даних, токені або ключам, що зберігаються в середовищах безперервної інтеграції клієнтів, а також до будь-якої служби і сховищ даних. Отримані дані потім відправлялися на сторонній сервер поза Codecov.
Bash Uploader компанії також використовується в трьох пов'язаних завантажувач: завантажувач Codecov-actions для Github, Codecov CircleCl Orb і Codecov Bitrise Step. Всі вони теж постраждали.
«Хакер отримав доступ через помилки в процесістворення образу Docker Codecov, яка дозволила йому витягти облікові дані, необхідні для зміни нашого сценарію Bash Uploader », - розповів Енгельберг. - «Відразу ж після того, як стало відомо про проблему, Codecov убезпечив і виправив уразливий сценарій і почав розслідування будь-якого потенційного впливу на користувачів».
Після розслідування інциденту компаніявизначила, що зловмисник періодично вносив зміни в сценарій Bash Uploader, починаючи з 31 січня цього року. Codecov дізнався про злом 1 квітня, коли клієнт виявив невідповідність у Bash Uploader і повідомив про нього.
«Ми настійно рекомендуємо порушенихкористувачам негайно повторно використовувати всі свої облікові дані, токени або ключі, розташовані в змінних середовища в їх процесах CI, які використовували один з Bash Uploaders від Codecov », - підсумував Енгельберг.
Читайте також:
- Створено першу точна карта світу. Що не так з усіма іншими?
- Вчені розшифрували дивні сигнали з космосу
- Уран отримав статус самої дивної планети в Сонячній системі. Чому?