ATTACCHI · SUPPLY CHAIN DEL SOFTWARE
Codecov, gennaio 2021: lo script che spediva i segreti dei clienti
Dal 31 gennaio al 1° aprile 2021 un attaccante ha modificato il Bash Uploader di Codecov, lo script che migliaia di clienti eseguivano nelle loro pipeline di integrazione continua. Per due mesi lo script ha inviato a un server esterno le variabili d'ambiente dei clienti, con chiavi, token e password; Codecov lo ha comunicato il 15 aprile.
- Vittima
- Codecov e i suoi clienti
- Settore
- Strumenti per sviluppatori
- Paese
- Stati Uniti, con clienti in tutto il mondo
- Data
- 31 gennaio 2021
- Categoria
- Supply chain del software
- Causa
- Errore di configurazione
- Attore
- Non identificato. Non identificato
- Scenari di danno
- Responsabilità verso terzi · Ripristino di dati e sistemi
Le cause in breve
- Errore nella costruzione delle immagini. Un difetto nel modo in cui Codecov creava le immagini Docker ha permesso di ottenere una chiave e modificare lo script (Security Affairs).
- Una riga in più. La modifica inviava a un server terzo l'output di
git remote -ve tutte le variabili d'ambiente (Rapid7). - Fiducia cieca. I clienti scaricavano ed eseguivano lo script a ogni build senza verificarne l'integrità.
L'impatto
- Possibile furto di chiavi AWS, chiavi di distribuzione, chiavi API, credenziali e token presenti nelle pipeline (Rapid7).
- Coinvolti anche la GitHub Action, l'Orb di CircleCI e lo Step di Bitrise di Codecov (Rapid7).
- Tutti i clienti coinvolti invitati a sostituire le credenziali esposte (Rapid7).
- Numero dei clienti colpiti e costo complessivo: non noti.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondePer Codecov e per ogni cliente rispondono l'indagine e la verifica di come sono stati usati i segreti esposti.
- Ripristino di dati e sistemiRispondeLa sostituzione di chiavi e token e la ricostruzione dello script rientrano nel ripristino.
- Business interruption propriaNon pertinenteIl servizio di Codecov non si è fermato.
- Business interruption dipendente (fornitore)Risponde con limitiPer i clienti il costo è il lavoro di sostituzione dei segreti: risponde solo se la garanzia copre i costi aggiuntivi.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto.
- Notifica e responsabilità privacyRisponde con limitiI dati sottratti erano segreti tecnici: la garanzia risponde solo se hanno portato a dati personali.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingLe richieste dei clienti verso Codecov rientrano nella responsabilità professionale tecnologica.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Responsabilità professionale. Le richieste dei clienti verso il fornitore vanno nella garanzia tecnologica, non nella cyber base.
- Costi di gestione. Cambiare i segreti senza prova di un abuso può essere considerato prevenzione.
- Cumulo. Uno strumento di sviluppo compromesso colpisce molti assicurati insieme.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Danni accertati pochi e poco noti, ma due mesi di esposizione dei segreti di migliaia di aziende.
Segnale di cumulo per il portafoglio.
Cumulo sulla catena di sviluppo: lo stesso script era eseguito nelle pipeline di migliaia di clienti.