首页科技快讯美国测试代码平台被曝出存在安全漏洞，公司：尚未确定黑客身份

美国测试代码平台被曝出存在安全漏洞，公司：尚未确定黑客身份

来源：晰数塔互联网快讯时间：2021年04月21日 11:32

编者按：本文来自微信公众号“大数据文摘”（ID:BigDataDigest），36氪经授权发布。

根据多家外媒报道，日前，一个用于测试代码的客户平台Codecov被曝出存在严重的安全漏洞，该公司也已经承认了漏洞的存在，并表示，漏洞在此前已经存在了几个月，但始终没有被发现。

美国联邦调查人员正在进行相关调查。

据了解，Codecov在世界各地拥有超过29000个客户，可以想见影响范围之广。

根据路透社报道统计，此次违规事件已经影响了众多客户，其中包括Atlassian，Proctor＆Gamble，GoDaddy和《华盛顿邮报》。不过公司CEO Jerrod Engelberg发表的安全更新中，尚没有明确提及受影响用户的数量。

目前，Codecov表示，除了网站上的声明外，其他一切都不予置评。

声明链接：

https://about.codecov.io/security-update/

在该安全更新中，Engelberg写到，黑客获得了对公司Bash Uploader脚本的未经授权的访问，并对其进行了修改，从而使其可以潜在访问存储在客户连续集成环境中的任何凭据、令牌或密钥以及任何服务，然后将访问的数据发送到Codecov外部的第三方服务器。

Codecov的Bash Uploader也用在三个相关的上传器（uploader）中：Github的Codecov-actions，Codecov CircleCl Orb和Codecov Bitrise Step，这些都受到影响。

根据Codecov最新表示，他们已经解决了这个漏洞，系统和服务已经是安全可使用的了，不过目前还无法确定是谁实施了入侵。

“由于Codecov的Docker映像创建过程中出现的错误，黑客获得了访问权限，该错误使黑客能够提取修改我们的Bash Uploader脚本所需的凭据，”Engelberg说，“在意识到这一问题后，Codecov立即保护并修复了受影响的脚本，并开始调查对用户的任何潜在影响”。

该公司补充说，他们已经聘请了第三方法证公司来帮助其分析对用户的影响。同时，也已经将此事件报告给了执法部门，并正在与他们进行合作。

对该事件进行调查后，该公司确定黑客于今年1月31日开始对其Bash Uploader脚本进行了定期更改。4月1日，当一名客户检测到并报告了Bash Uploader的差异时，Codecov于此时获悉了该违规行为。

Codecov表示，它已于4月15日通过电子邮件将受影响的用户发送到Github、Gitlab和Bitbucket归档的电子邮件，并在受影响的用户登录Codecov后启用了通知横幅。该公司表示，使用自托管版本的Codecov的客户不太可能受到影响。

“我们强烈建议受影响的用户在使用Codecov的Bash Uploaders之一的CI流程中立即重新滚动其位于环境变量中的所有凭据、令牌或密钥。” Engelberg说。

路透社指出，该事件正在与美国政府归咎于俄罗斯对外情报局的大规模SolarWinds黑客事件进行比较，原因是它可能对各个组织产生影响，并且由于未发现攻击的时间长。重要的是，Codecov的范围尚不清楚。

Codecov表示，已经采取了许多措施来解决安全问题，包括轮换所有相关的内部凭据、设置监视和审核工具，以确保威胁行为者无法再次修改Bash Uploader，以及与第三者的托管提供商合作。