Contexte
Un pirate a compromis le client officiel en ligne de commande d’OVHcloud, distribué sur le dépôt GitHub de l’entreprise. L’attaque a concerné les versions v0.11.0, v0.12.0, v0.13.0, v0.14.0 et v0.15.0 du client.
Détails de la compromission
Le code légitime a été remplacé par un binaire malveillant capable d’extraire les secrets (mots de passe, identifiants) stockés sur le disque de la machine hôte. Le pirate a utilisé le compte GitHub d’un développeur d’OVHcloud pour injecter ce binaire.
Chronologie et détection
L’incident a eu lieu le lundi 19 octobre à 14h47. Le dépôt a continué à diffuser la version piégée jusqu’à 16h21, soit moins de deux heures. La première alerte provient d’un utilisateur qui, via un ticket GitHub, a signalé une anomalie dans la chaîne d’intégration continue lors de la vérification de l’empreinte numérique de l’archive destinée aux machines Linux ARM.
Réaction d’OVHcloud
Octave Klaba, CEO d’OVHcloud, a déclaré : "On vient de finir les premières vérifications et aucun autre repo n’est affecté. Nous avons aussi retracé l’incident. Le hacker a utilisé le compte github d’un des développeurs et a ajouté un binaire dont le job est récupérer les secrets sur le disque. La qualité du binaire est médiocre mais il peut aller jusqu’au bout. Si vous êtes concernés, merci de changer tous les secrets sur votre disque.".
Dans un second communiqué, il a ajouté : "Nous avons terminé l’analyse. L’ensemble de pipelines CI/CD avec de tests unitaires, les tests fonctionnaires, la détection de CVE etc n’ont pas été impactés. Le problème vient de l’option l’immutabilité des releases sur Github qui n’a pas été activée. Donc un user avec les bons droits pouvait modifier les releases existantes directement sur Github sans qu’aucun contrôle sur notre CI/CD. L’option a été activée. Fin de l’incident. Désolé pour les impacts que cela a pu provoquer.".
Conséquences et mesures
L’absence d’immutabilité des releases a permis la modification manuelle des fichiers déjà publiés. OVHcloud a depuis activé cette option et publié la version v0.16.0 du client, présentée comme sûre et immuable. Les utilisateurs qui ont téléchargé et exécuté les versions compromises durant la fenêtre d’exposition sont invités à révoquer et renouveler tous les secrets présents sur leur machine, notamment les identifiants OVHcloud, les clés API, les clés SSH et toute variable d’environnement liée à leurs hébergements.
Source : NEXT
Service
Création de site web professionnel sur mesure pour PME
Création de sites web modernes et sur mesure pour PME, entreprises et organisations à partir de 95 000 FCFA
À partir de 95 000 F CFADécouvrir le service
