Codecov: عندما يسرق سكربت CI أسرارك
سكربت رفع Codecov المعدّل أرسل متغيرات البيئة من خطوط CI إلى المهاجمين لشهور. غيّر الأسرار، ثم تحقّق مما تشغّله.
أعلنت Codecov هذا الشهر أن سكربت Bash Uploader الخاص بها، المستخدم في آلاف خطوط CI، عدّله مهاجمون منذ أواخر يناير. وكان التعديل يرسل متغيرات البيئة من عمليات CI لدى العملاء إلى المهاجمين. وهذه المتغيرات تتضمن غالبًا مفاتيح سحابية ورموز API وكلمات مرور قواعد بيانات.
إن كنت تستخدمه:
- غيّر كل سر كان متاحًا لتلك المهام. افترض أنه نُسخ.
- راجع سجلات السحابة وGit بحثًا عن استخدام تلك البيانات منذ يناير.
- أعد فحص الكود والإصدارات المبنية في تلك الفترة إن كان خط CI يستطيع دفعها.
وللجميع، العادة التي يجب التخلي عنها هي curl ... | bash داخل خطوط البناء. بدلًا منها:
- ثبّت الأدوات على إصدار محدد وتحقّق من بصمتها أو توقيعها.
- أعطِ كل مهمة CI الأسرار التي تحتاجها فقط.
- فضّل الصلاحيات قصيرة العمر على المفاتيح الدائمة المحفوظة في إعدادات CI.