Pourquoi un logiciel espion a infiltré l’outil en ligne de commande d’OVHcloud via GitHub ?

L’univers des développeurs a été secoué par une attaque ciblant l’outil en ligne de commande d’OVHcloud. Cette intrusion, survenue en plein cœur de la journée, a révélé une faille préoccupante dans la gestion des accès aux dépôts GitHub. Mais quels sont les détails de cette attaque, et comment OVHcloud a-t-il réagi pour protéger ses utilisateurs ?

L’essentiel à retenir

• Un logiciel espion a été intégré dans l’outil en ligne de commande d’OVHcloud, entre 14h47 et 16h21, via GitHub.
• Les utilisateurs doivent changer toutes les clés stockées sur leurs machines pour se protéger.
• OVHcloud a diffusé une version signée et immuable de son outil pour éviter de nouvelles compromissions.

Imaginez que vous soyez en train de gérer vos serveurs OVHcloud, une tâche que vous effectuez régulièrement et sans soucis majeurs. Soudain, vous apprenez qu’une version de l’outil que vous utilisez a été compromise. C’est ce qui est arrivé à de nombreux utilisateurs qui, pendant une courte fenêtre de temps, ont téléchargé une version vérolée de l’outil de commande d’OVHcloud. Une mésaventure qui illustre les dangers qui guettent même les entreprises les plus vigilantes dans le domaine du cloud computing.

Comment l’outil en ligne de commande d’OVHcloud a-t-il été compromis ?

Le 14 octobre, un pirate a profité d’une faille dans la gestion des droits d’accès sur GitHub pour insérer un logiciel espion dans l’outil en ligne de commande d’OVHcloud. Ce code malveillant a été téléchargé par les utilisateurs entre 14h47 et 16h21. La compromission a été facilitée par l’accès d’écriture dont disposait un contributeur de la documentation, ce qui a permis au pirate de remplacer les archives de cinq versions de l’outil, de la 0.11.0 à la 0.15.0.

En modifiant également le fichier checksums.txt, le pirate a pu faire correspondre les empreintes numériques aux binaires vérolés, échappant ainsi aux vérifications habituelles d’intégrité des fichiers. Cette attaque a mis en lumière deux faiblesses : le manque de contrôle des empreintes lors de l’installation et la capacité pour n’importe quel compte ayant des droits d’écriture de modifier les fichiers publiés.

Quelles mesures de sécurité ont été prises par OVHcloud ?

Suite à la découverte de l’intrusion, OVHcloud a réagi rapidement en supprimant les fichiers compromis et en publiant une nouvelle version 0.16.0 de son outil. Cette version est signée et immuable, garantissant que les fichiers qui y sont attachés ne peuvent plus être modifiés. Cette action vise à rassurer les utilisateurs quant à l’intégrité et la sécurité des outils qu’ils utilisent pour gérer leurs serveurs.

Quels utilisateurs sont concernés par cette attaque ?

Les utilisateurs qui ont installé ou mis à jour l’outil via le script officiel ou Homebrew entre 14h47 et 16h21 sont exposés. De plus, ceux qui ont récupéré manuellement l’archive sur GitHub pendant cette période sont également concernés. En revanche, ceux qui ont compilé l’outil à partir du code source ou en utilisant la commande go install ne sont pas affectés. De même, l’image Docker d’OVHcloud, conçue en interne, n’a pas subi de modification.

Quels sont les conseils pour sécuriser vos données après cette attaque ?

Pour se prémunir contre toute utilisation malveillante des données volées, Octave Klaba, fondateur d’OVHcloud, conseille aux utilisateurs de changer immédiatement tous les secrets stockés sur leurs machines. Cela inclut les clés d’API OVHcloud, les clés SSH, ainsi que les accès Kubernetes. Il est recommandé de réaliser ces changements depuis un autre ordinateur, avant de supprimer l’exécutable compromis et d’installer la version 0.16.0 sécurisée.

Quelles leçons tirer de cette attaque pour l’avenir de la sécurité GitHub ?

Cette attaque souligne l’importance cruciale de la gestion des droits d’accès sur les plateformes de développement collaboratif comme GitHub. En renforçant le contrôle des accès et en intégrant des vérifications d’empreintes plus robustes lors de l’installation, les entreprises peuvent mieux protéger leurs outils contre les compromissions similaires. La communauté open source, qui repose sur la transparence et la collaboration, doit veiller à ce que les projets soient sécurisés dès leur conception.

Comment l’attaque d’OVHcloud illustre-t-elle les défis de la sécurité dans le cloud computing ?

Les attaques de ce type mettent en exergue les défis croissants auxquels sont confrontées les entreprises de cloud computing, comme OVHcloud, face aux cybermenaces. L’attaque a révélé des vulnérabilités dans la gestion des accès et l’intégrité des fichiers. Pour renforcer la sécurité, il est crucial de mettre en place des audits réguliers, des protocoles de sécurité robustes et de sensibiliser les utilisateurs aux meilleures pratiques.

FAQ

Quels utilisateurs doivent prendre des mesures suite à cette attaque ?

Les utilisateurs ayant installé ou mis à jour l’outil OVHcloud entre 14h47 et 16h21 via le script officiel ou Homebrew, ou ayant récupéré l’archive manuellement sur GitHub, doivent changer leurs clés et réinstaller la version sécurisée.

Quelles versions de l’outil ont été compromises ?

Les versions concernées vont de la 0.11.0 à la 0.15.0. Cependant, c’est la méthode d’installation, plus que le numéro de version, qui détermine si vous êtes exposé.

Comment s’assurer que l’outil installé n’est pas compromis ?

Utilisez la commande ovhcloud version pour vérifier le numéro de la version. Si Go est installé, la commande go version -m peut indiquer la présence de modifications suspectes avec la mention « dirty ».

Comment OVHcloud a-t-il sécurisé l’outil après l’attaque ?

OVHcloud a publié une nouvelle version de l’outil, la 0.16.0, signée et immuable, garantissant l’intégrité et la sécurité des fichiers téléchargeables.

---