Szerző: Koi Tamás

2021. április 19. 13:11

Komoly biztonsági krízishez vezethet a Codecov-betörés

Szakértők szerint a tavalyi SolarWinds-ügyhöz hasonló léptékű biztonsági incidenssorozathoz vezethet, hogy ismeretlenek hónapokon keresztül hozzáfértek a szoftvertesztelő platformot üzemeltető Codecov rendszereihez.

Érik az újabb adatbiztonsági botrány a tavalyi SolarWinds-hacket követően, miután kiderült, hogy az év elején ismeretlen tettesek hónapokig hozzáférhettek a Codecov nevű szoftveraudit-cég rendszereihez. Az ügyben már az FBI is nyomoz, a betörés mintegy 29 ezer codecov-ügyfelet érinthet potenciálisan, köztük az Atlassiant, a Procter & Gamble-t, a GoDaddyt és a Washingont Postot.

A vállalat weboldalán múlt hétvégén megjelent tájékoztató szerint a Codacov április elsején, egy ügyfél visszajelzése alapján vette észre, hogy a kódrészletek feltöltésére használt Bash Uploader scripthez ismeretlen személyek illetéktelenül hozzáfértek és úgy módosították, hogy az az ügyfelek által feltöltött adatokat a cég hálózatán kívülre exportálja - vagyis klasszikus adatlopás történt.

codecov_illusztracio

Hogyan lehet növelni a fejlesztés hatékonyságát? (x)

Gyere el az Alerant webinárjára és nézd meg, hogyan lehet gyakran módosítani az alkalmazásokat, majd biztonságosan élesbe állni.

Hogyan lehet növelni a fejlesztés hatékonyságát? (x) Gyere el az Alerant webinárjára és nézd meg, hogyan lehet gyakran módosítani az alkalmazásokat, majd biztonságosan élesbe állni.

A vállalat közleménye szerint a megváltoztatott kódú Bash Uploadert az eddig rendelkezésre álló információk szerint január végén használták először a hackerek, vagyis a Codecovtól legalább két teljes hónapon keresztül lophattak el szenzitív ügyféladatokat. A támadás felfedezését követően a cég azonnal módosította a kódot és értesítette a potenciálisan érintett ügyfélbázist a továbbiakban szükséges teendőkről.

Egyelőre sem a Codecov, sem a hatóságok nem neveztek meg a lehetséges elkövetőt, illetve a támadás pontos következményeinek a felmérése jelenleg is zajlik, Kocsis Tamás biztonsági szakértő szerint ugyanakkor például a Jira-t fejlesztő Atlassian érintettsége révén jelentős biztonsági kockázatot jelenthet az ügyfelekre a mostani incidens.

Az eset kapcsán közleményt adott ki az Atlassian, melyet hétfőn délután a HWSW-hez is eljuttatott a cég. Mint írják, a társaság vizsgálja a történteket, ám mindeddig nincs konkrét bizonyíték a cég érintettsége kapcsán, illetve nem észlelt semmilyen, a Codecov-szivárgással kapcsolatos gyanús tevékenységet a vállalat.

Május 18-19-én biztonságos szoftverfejlesztés és Scrum újdonságaira fókuszáló meetupokat rendezünk, 2 nap alatt összesen 10 klassz előadással.

a címlapról