Bash Uploader Security Update - Codecov

Update 4/29/2021 3PM PT: Through our investigation, we now have additional information concerning what environment variables may have been obtained without authorization and how they may have been used. Affected users can view details within the Codecov application. Additionally, we have posted our most up-to-date set of IOCs below. Note: If you are in the affected user group, at 6 am PT, Thursday

[efcl]

codecovのbash scriptが書き換えられたサプライチェーン攻撃について

[hiroomi]

“1月31日から4月1日までの間に”

[miya-jan]

Codecov の Bash Uploader スクリプトに第三者から脆弱性を仕込まれていた。コード流出、CI ランナーに渡していたシークレット流出などのリスクがある。2021/1/31 以降で利用した場合はローテーション推奨。

[hamaco]

ひぇぇ…

[Untouchable]

やはりインターネットからシェルスクリプトを都度ダウンロードして実行する仕組みは危険。せめてPowerShellみたいに電子署名の仕組みがあれば

[umiyosh]

やばすぎ

[laiso]

ひええ

[mattn]

やばそうなのが

[teppeis]

Codecov Bash Uploaderのスクリプトが改竄され、利用者のCIランナーで使われているクレデンシャルが漏洩した可能性

[daikikohara]

CIで使われてるのもダメなのか。例えばGitHub Actionsだとjob全体のenvで定義してるようなtoken等は渡されるから全部変更しなきゃいけないって理解であってるかな。だとしたら影響でかいな…