開発環境狙うサプライチェーン攻撃、「Codecov」が標的に
コードカバレッジの可視化プラットフォーム「Codecov」が、2カ月以上にわたって改ざんされる被害が発生した。同プラットフォームの利用環境より認証情報やトークン、コードなどを窃取された可能性があり、国内でも被害が確認されている。
Codecovが提供する「Codecov」において、一部スクリプトが何者かによって改ざんされたもの。「Codecov-actions uploader for Github」「Codecov CircleCl Orb」「Codecov Bitrise Step」なども影響を受ける。
開発環境におけるプロジェクト内のカバレッジファイルを検出し、レポートを収集して「Codecov」に送信するためのスクリプト「Bash uploader」が改ざんされた。
利用者の継続的インテグレーション(CI)環境において、改ざんされた同スクリプトよりアクセスが可能だった資格情報やトークン、コードなどが、攻撃者の指定したIPアドレスなどへ送信され、窃取されたおそれがある。
(Security NEXT - 2021/05/21 )
ツイート
PR
関連記事
「GarageBand」にセキュリティアップデート - 脆弱性1件を修正
「JSONata」にプロトライプ汚染の脆弱性 - アップデートにて修正
「WordPress」向けのマルウェア対策やWAFプラグインに脆弱性 - 公開中止に
Cisco、「IOS XR」に関するセキュリティアドバイザリ7件を公開
「Apache Tomcat」に脆弱性、2月の更新で修正済み - 「同8.5」系統は3月末にEOL
Palo Altoの「PAN-OS」や「GlobalProtect App」に脆弱性
バックアップ製品「Arcserve UDP」に脆弱性 - 影響大きくPoCも公開
ファイル転送製品「FileCatalyst」に深刻な脆弱性 - 2023年8月の更新で修正
SonicWallの「SonicOS」やメールセキュリティ製品に脆弱性
ビデオ会議サービス「Zoom Rooms」に複数の脆弱性