Le client en ligne de commande d’OVHcloud compromis par un pirate sur GitHub
Un pirate a compromis le client officiel en ligne de commande d'OVHcloud, distribué via son dépôt GitHub, le lundi 19 octobre à 14h47. Il a exploité le compte GitHub d'un développeur de l'entreprise pour remplacer le code légitime par une version piégée. Celle-ci contenait un binaire malveillant chargé d'extraire les secrets stockés sur le disque de la machine hôte, comme les mots de passe et les identifiants. Les versions v0.11.0, v0.12.0, v0.13.0, v0.14.0 et v0.15.0 ont été modifiées. Le problème a été identifié et bloqué à 16h21, soit une fenêtre d'exposition d'un peu moins de deux heures. L'alerte est venue d'un utilisateur qui, via un ticket GitHub, s'étonnait d'une erreur dans sa chaîne d'intégration continue lors de la vérification de l'empreinte numérique de l'archive destinée aux machines Linux sur processeur ARM. Le PDG Octave Klaba a précisé qu'aucun autre dépôt n'était touché et que la qualité du binaire était médiocre, mais qu'il pouvait néanmoins aller au bout de sa mission.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de Next INpact. Lire l'article original →
Pour les utilisateurs ayant installé, mis à jour puis exécuté le client durant ce créneau, la machine est potentiellement exposée. Ils doivent révoquer et renouveler tous les secrets présents sur leur poste, à commencer par les identifiants OVHcloud et les clés API, mais aussi les clés SSH et l'ensemble des identifiants liés à leurs hébergements ou à leurs variables d'environnement. L'incident touche donc en priorité des administrateurs et développeurs, dont les accès peuvent ouvrir sur des infrastructures entières. Il rappelle aussi qu'un outil officiel, téléchargé depuis une source de confiance, peut devenir un vecteur d'attaque dès lors qu'un seul compte de mainteneur est compromis. Une nouvelle version v0.16.0, présentée comme saine et immuable, a été publiée lundi soir.
Selon l'analyse finale de Klaba, publiée vers 22h30, les pipelines CI/CD d'OVHcloud, avec leurs tests unitaires, leurs tests fonctionnels et leur détection de vulnérabilités, n'ont pas été affectés. La cause est un défaut de paramétrage : l'option d'immutabilité des releases de GitHub n'était pas activée. Quand elle l'est, les fichiers déjà publiés ne peuvent être ni remplacés ni supprimés, et toute modification impose une nouvelle version. Ici, un utilisateur disposant des droits suffisants pouvait modifier directement les releases existantes sur GitHub, sans passer par l'intégration continue, seul endroit où s'exécutent les contrôles standards de l'hébergeur. Les mesures de sécurité étaient donc contournées par la voie manuelle. L'option a depuis été activée, et l'entreprise a présenté ses excuses pour les désagréments. L'affaire s'inscrit dans la multiplication des attaques visant la chaîne d'approvisionnement logicielle, où les comptes de développeurs et les dépôts de distribution sont devenus des cibles privilégiées. Elle souligne qu'une chaîne de développement bien outillée reste vulnérable si un simple réglage de plateforme laisse une porte ouverte.
OVHcloud, fournisseur cloud français, a vu son client officiel en ligne de commande piégé pendant près de deux heures, exposant les secrets de ses utilisateurs en France et en Europe.