Il checksum ufficiale ha convalidato malware nei rilasci OVHcloud
OVHcloud riferisce che un account GitHub di un contributor compromesso ha sostituito gli archivi di cinque release della OVHcloud CLI, dalla v0.11.0 alla v0.15.0, distribuendo malware per rubare segreti per 94 minuti il 19 ottobre, dalle 12:47 alle 14:21 UTC. L’esposizione riguarda chi ha scaricato in quella finestra versioni per macOS, Linux o Windows x86_64.
Il codice sorgente, il tag e la pipeline di build sono rimasti intatti: l’attaccante ha alterato solo gli archivi scaricabili e il file dei checksum, facendoli corrispondere ai binari malevoli. Anche verificare il checksum pubblicato non avrebbe quindi rivelato la manomissione.
OVHcloud ha rimosso i file e pubblicato la v0.16.0 come release immutabile. Chi ha eseguito un binario durante la finestra potrebbe aver esposto segreti locali; reinstallare il CLI non chiarisce se siano stati sottratti. Lo stesso punto cieco riguarda il software scaricato da release GitHub quando il checksum proviene dalla stessa release compromessa.
OVHcloud CLI releases backdoored on GitHub to steal developer secrets
French cloud and hosting provider OVHcloud is warning users that attackers compromised its open-source command-line interface (CLI) tool to distribute information-stealing malware.