TL;DR
Żeby zatruć narzędzie dla administratorów, wystarczyło przejąć jedno konto współpracownika na GitHubie. Atakujący nie ruszali kodu ani pipeline'u CI/CD. W oknie trwającym 94 minut podmienili gotowe binaria w pięciu istniejących wydaniach OVHcloud CLI (od v0.11.0 do v0.15.0), a złośliwy kod polował na tokeny, klucze API i plik ~/.ovh.conf.
Ucierpieli ci, którzy pobierali pliki wprost z GitHub Releases albo skryptami instalacyjnymi bez weryfikacji SHA-256. Homebrew obroniły zapisane sumy kontrolne, a obrazy Dockera i budowanie ze źródeł były bezpieczne. Za to jedno wyłączone ustawienie na GitHubie otworzyło tę furtkę, a jego nazwa przyda się każdemu, kto publikuje wydania.
Atak na łańcuch dostaw oprogramowania nie musi zaczynać się od luki w kodzie ani przejęcia całej infrastruktury producenta. Czasem wystarczy dostęp do konta jednego współpracownika...
Czytaj cały wpis u źródła
