Ele geçirilen OVHcloud geliştirici hesabı, sır çalan CLI sürümleri yayınladı

Ele geçirilmiş bir OVHcloud geliştirici GitHub hesabı, şirketin komut satırı aracının sürüm ikili dosyalarının, kullanıcıların disklerindeki sırları toplamak için tasarlanmış kötü amaçlı derlemelerle değiştirilmesinde kullanıldı. GHSA-862f-55f5-vmvw olarak takip edilen ve Yüksek derecelendirilen OVHcloud duyurusuna göre, kurcalanmış arşivler 19 Ekim 2026'da UTC ile 12:47 ile 14:21 arasında indirilebilirdi ve bu zaman aralığında v0.11.0 ile v0.15.0 arasındaki sürümleri kuran herkesin, etkilenen makineden erişilebilen tüm sırları ele geçirilmiş sayması gerekiyor.

Saldırı nasıl gelişti

Duyuruya göre saldırgan, ele geçirilen hesabı kullanarak zaten yayımlanmış beş sürüme ekli arşivleri değiştirdi. Kaynak kod, derleme zinciri ve diğer depelere dokunulmadı — ve kilit ayrıntı da bu: The Hacker News'a göre kötü amaçlı dosyalar, daha sonraki bir commit'in basit bir Go derlemesiydi ve mevcut varlıkların üzerine doğrudan yüklendi; böylece sürüm iş akışı hiç çalışmadı ve CI denetimleri tamamen atlandı.

Kurcalamayı OVHcloud değil, aşağı akıştaki bir kullanıcı fark etti. CI pipeline'ları Linux arm64 tarball'ının SHA-256 değerini sabitlemişti; sabitleme başarısız olmaya başlayınca saat yaklaşık 13:50 UTC'de depoda bir issue açtılar. Bir maintainer, kötü amaçlı ikili dosyaların 14:21 UTC'de silindiğini doğruladı ve ardından imzalı etiket taşıyan değiştirilemez bir sürüm olarak v0.16.0 geldi.

Kimler etkileniyor

Duyuruda etkilenen platformlar olarak macOS arm64 ve x86_64, Linux arm64 ve x86_64 ile Windows x86_64 listeleniyor. OpenSourceMalware'a göre Linux i386, Windows i386, Windows arm64 ve WASM derlemelerine dokunulmadı. v0.10.0 ve önceki sürümler ile v0.16.0 ve sonraki sürümler temiz kabul ediliyor.

The Hacker News, açığa çıkan kurulum yollarını şöyle sıralıyor: hash denetimi yapmayan resmi kurulum betiği; beş sürüm sayfasından manuel indirmeler; sabitlenmiş digest olmadan çeken CI işleri; ve macOS ile Linux'ta CLI'nın kendi yükseltme komutunun v0.12.0'dan v0.14.0'a geçişi. Homebrew, go install, kaynak kod derlemeleri ve Docker imajını güvenli buluyor; Homebrew cask'inin özgün SHA-256 değerini sabitlediğine dikkat çekiyor. OpenSourceMalware farklı düşünüyor ve cask'i açıkta listeliyor; OVHcloud'un duyurusunda Homebrew'dan bahsedilmiyor. Tutarlı örüntü şu: bir checksum doğrulayan yollar güvenli kaldı, sürüm URL'sine körü körüne güvenen yollar ise olmadı.

Basın haberleri zamanlama konusunda da ayrışıyor. BleepingComputer, kötü amaçlı sürümün 14:47'de göründüğünü ve 16:21'de engellendiğini, saat dilimi belirtmeden raporluyor; bunlar Paris yerel saatleri. Duyurudaki 12:47 ile 14:21 UTC aralığı yetkili olanıdır.

Etkilenen kullanıcılar ne yapmalı

OVHcloud'un önerileri sırasıyla şöyle: ikili dosyayı çalıştırmadan duyuruda yayımlanan MD5 değerleriyle karşılaştırın ya da geçici dizinde envchecker- öneki ve rastgele rakamlardan oluşan bir klasüm olup olmadığını kontrol edin — bu, kötü amaçlı yazılımın çalıştığının işaretidir. Ardından bulut, SSH, Git, Docker, Kubernetes ve AI araçlarının kimlik bilgilerini farklı bir makineden değiştirin, ikili dosyayı silin ve v0.16.0'ı kurun. OpenSourceMalware'un kontrol listesi paket yöneticisi token'larını ve .env dosyalarını da ekliyor; BleepingComputer, OVHcloud CEO'sunun etkilenen kullanıcılara makinede saklanan tüm sırları değiştirme çağrısını aktarıyor. Bu zaman aralığında CLI'yı sabitlenmiş hash olmadan çeken her CI pipeline'ı, değiştirilmiş derlemeyi deploy kimlik bilgileri taşıyan bir runner üzerinde çalıştırdı ve denetlenmesi gerekiyor.

Neden işe yaradı

GitHub sürümleri, depo vazgeçmedikçe değiştirilebilirdir: yazma erişimi olan herkes ekli bir dosyayı silip aynı isimde başka bir dosya yükleyebilir; etiket, kaynak arşivi ve sürüm tarihi değişmeden kalır. BleepingComputer, OVHcloud CEO'sunun olayı, sürüm değişmezliği seçeneğinin kapalı olmasına bağladığını raporluyor; bu, yeterli ayrıcalığa sahip bir hesabın mevcut sürümleri doğrudan değiştirmesine izin vermiş. OpenSourceMalware başka zayıflıkları da sayıyor: kişisel hesaplar altında yayımlanan sürümler, sürüm varlıklarına yazma izni olan marjinal bir katkıda bulunan, checksum doğrulamasını atlayan bir kurulum betiği, v0.16.0 öncesinde imzalama veya provenance olmaması ve güvenlik açığı bildirimleri için özel bir kanal bulunmaması — bu da ifşanın herkese açık bir issue üzerinden yapılmasını zorunlu kıldı. Sürümlerle birlikte gelen checksums dosyası hiçbir koruma sağlamadı, çünkü her sürümde değiştirilen dosyalar arasındaydı.

Geçici bir GlassWorm bağlantısı

OpenSourceMalware, ele geçirilen hesabı, herkese açık gösterge listelerinde yer alan bir Solana cüzdanı üzerinden GlassWorm kötü amaçlı yazılım ailesine bağlıyor; ancak araştırmacılar da Ekim değişimine olan bağlantıyı çıkarım olarak nitelendiriyor: olaya dair hiçbir ikili dosya GlassWorm'a bağlanmadı, çünkü hiçbiri korunmadı. Bu atıfı geçici olarak değerlendirin.

Neden önemli

Bu olay, arkasındaki artefekt deposu sessizce yeniden yazılabildiğinde sağlamlaştırılmış pipeline'ların hiçbir değeri olmadığının net bir kanıtı. GitHub'ın sürüm değişmezliği ayarı — Settings, Releases altında — yayımlanmış bir sürümün varlıklarını ve etiketini tek bir onay kutusuyla kilitler, ancak yalnızca etkinleştirildikten sonra yayımlanan sürümleri korur. Kullanıcılar için pratik savunma, CI'da hash'leri sabitlemek ve indirmeleri bağımsız olarak doğrulamaktır; zira aynı değiştirilebilir sürümün içinde saklanan bir checksum hiçbir şeyi kanıtlamaz. Ve ele geçirilmeden şüphelenildiğinde kimlik bilgisi rotasyonu temizlikten önce gelmek zorundadır: temiz bir sürüm kurmak, zaten kopyalanmış sırlar için hiçbir şey yapmaz.