Coder : son registre de modules Terraform a servi du code malveillant le 31 août
Coder indique qu’un acteur malveillant a ajouté des adresses IP non autorisées au pool de son registre de modules, qui ont servi des artefacts contenant du code malveillant. Les équipes qui ont téléchargé des modules le 31 août entre 07 h 35 et 21 h 45 UTC doivent vérifier leurs déploiements et renouveler leurs secrets.
Pour les pros
Pour les professionnels
Le contexte
Selon l’avis de sécurité de Coder (GHSA-vx42-ghc9-gw65, sévérité critique), un acteur non identifié a accédé à son infrastructure Cloudflare et ajouté des adresses IP non autorisées au pool du registre de modules. Ces serveurs hébergeaient une version du registre contenant du code conçu pour repérer des identifiants et les exfiltrer vers un domaine ressemblant à celui de Coder. Coder n’a pas d’indication d’impact sur les données de ses clients qu’elle conserve et ne peut pas déterminer avec certitude quels utilisateurs ont été touchés.
Ce qui s'est passé, jour après jour
07 h 35 UTC : début de la fenêtre pendant laquelle des artefacts malveillants ont pu être servis par le registre.
21 h 45 UTC : fin de cette fenêtre.
Coder publie son avis de sécurité et diffuse les versions corrigées 2.37.0, 2.36.4, 2.35.7 et 2.34.9 ; les modules actuellement servis ont été validés sans code malveillant.
Qui est concerné
- Coder
- Cloudflare
À faire, dans l'ordre
Vérifier si votre déploiement a téléchargé un module du registre entre 07 h 35 et 21 h 45 UTC le 31 août (création ou mise à jour d’un modèle, création d’un espace de travail avec le cache des modules désactivé).
Examiner les journaux de pare-feu, de proxy, de DNS et de flux réseau à la recherche de trafic sortant vers coder-infra[.]com, et les journaux de provisionnement pour la chaîne data.external.telemetry.
Purger les modules en cache potentiellement piégés (Coder fournit des requêtes SQL pour les identifier et les retirer), puis passer à une version corrigée : 2.37.0, 2.36.4, 2.35.7 ou 2.34.9.
Renouveler les secrets accessibles au déploiement, en priorité ceux des provisionneurs : clés d’API cloud, identifiants d’intégration continue, jetons OIDC, clés SSH.
En clair
Pour tout le monde
Coder est une plateforme que des équipes de développement utilisent pour créer leurs environnements de travail. Le 31 août, pendant quelques heures, des composants téléchargés depuis son catalogue officiel ont été remplacés par des versions piégées, conçues pour voler mots de passe et clés d’accès. Seules les équipes qui ont téléchargé des composants à ce moment-là sont concernées. Si c’est votre cas, changez vos clés et mots de passe, puis mettez Coder à jour.
Ce que ça change dans le Pacifique
Nouvelle-Calédonie, Polynésie française, Wallis-et-Futuna
Aucun lien avec le Pacifique n’est établi à ce jour : les sources ne citent aucune organisation des territoires. Toute équipe de développement ou tout prestataire informatique du Pacifique qui utilise le registre public de Coder pour ses modèles est concerné comme les autres : contrôler les modules récupérés le 31 août et les secrets accessibles aux environnements concernés.
Réseau de sources
Qui a relevé l’alerte, et quelles autorités la documentent.
- BleepingComputer, Coder’s registry infrastructure compromised to push malicious modules
- Avis de sécurité de Coder
Sources (2)
- Relevé parRelevéBleepingComputer, Coder’s registry infrastructure compromised to push malicious modules (site externe, nouvel onglet)bleepingcomputer.com
- Avis de sécurité de CoderAutoritéCoder, Malicious Packages Served from Unauthorized Registry Server (GHSA-vx42-ghc9-gw65) (site externe, nouvel onglet)github.com