Các bản phát hành OVHcloud CLI bị chiếm quyền để đánh cắp bí mật thông qua việc xâm nhập tài khoản GitHub

Vào thứ Hai, ngày 19 tháng 10, tin tặc đã xâm nhập tài khoản GitHub của một cộng tác viên và thay thế các tệp lưu trữ tải xuống cho năm bản phát hành hiện có của giao diện dòng lệnh OVHcloud. Các tệp nhị phân độc hại, được thiết kế để đánh cắp bí mật từ ổ đĩa cục bộ, đã tồn tại trên GitHub trong 94 phút trước khi nhà cung cấp đám mây xóa chúng và phát hành một phiên bản sạch, bất biến.

Chuyện gì đã xảy ra

Sự cố này nhắm vào các phiên bản v0.11.0 đến v0.15.0 của OVHcloud CLI, được công bố từ ngày 14 tháng 4 đến ngày 16 tháng 9. Trong khoảng thời gian từ 12:47 đến 14:21 UTC, một tin tặc có quyền truy cập vào tài khoản cộng tác viên đã xóa các tệp lưu trữ gốc và tải lên các tệp mới chứa phần mềm độc hại. Tin tặc cũng thay thế tệp checksums.txt để đảm bảo rằng các giá trị hash được công bố khớp với các tệp nhị phân độc hại, qua đó vượt qua các kiểm tra tính toàn vẹn cơ bản chỉ dựa vào các giá trị hash được cung cấp.

Octave Klaba, nhà sáng lập OVHcloud, xác nhận rằng mã nguồn, thẻ phát hành (release tags) và quy trình xây dựng nội bộ vẫn nguyên vẹn. Các tệp độc hại là những bản build Go đơn giản từ một commit sau đó, được tải trực tiếp lên các trang phát hành GitHub. Công ty đã phản hồi bằng cách xóa các tệp lưu trữ bị hoán đổi và công bố phiên bản v0.16.0 dưới dạng bản phát hành bất biến (immutable release), một tính năng của GitHub ngăn chặn việc sửa đổi thêm các tài sản của bản phát hành. Cộng tác viên bị xâm nhập đã hợp nhất công việc vào kho lưu trữ tài liệu nhưng không phải là thành viên công khai của tổ chức.

Cách thức hoạt động

Cuộc tấn công khai thác khả năng của những người dùng có quyền ghi (write access) trong việc sửa đổi các bản phát hành GitHub hiện có khi tính năng bất biến chưa được bật. Tính năng này, nhìn chung đã có sẵn từ tháng 10 năm 2025, khóa các tệp và thẻ phát hành nhưng chỉ bảo vệ các bản phát hành được tạo sau khi kích hoạt. OVHcloud chưa bật tùy chọn này cho các bản phát hành bị ảnh hưởng, cho phép tin tặc hoán đổi các tệp nhị phân mà không kích hoạt bất kỳ kiểm tra pipeline CI/CD hay chạy workflow nào.

Bản thân phần mềm độc hại là một công cụ đánh cắp bí mật, nhắm vào các thông tin đăng nhập được lưu trữ trên đĩa, chẳng hạn như trong ~/.ovh.conf hoặc các biến môi trường. Các nhà nghiên cứu từ OpenSourceMalware đã liên kết tài khoản bị xâm nhập với GlassWorm, một chiến dịch nổi tiếng với việc ẩn mã trong các ký tự Unicode vô hình. Mặc dù chưa có bản sao nào của tệp nhị phân tháng 10 được phân tích công khai, bốn kho lưu trữ cá nhân liên quan đến tài khoản này cho thấy các lần force-push vào tháng 3 chứa các loader nhất quán với các chiến thuật của GlassWorm.

Chi tiết chính

• Các phiên bản bị xâm nhập: v0.11.0, v0.12.0, v0.13.0, v0.14.0 và v0.15.0 được coi là bị xâm nhập; v0.10.0 là an toàn.
• Nền tảng bị ảnh hưởng: macOS (x86_64, arm64), Linux (x86_64, arm64) và Windows (x86_64). Các bản build Linux i386, Windows i386, Windows arm64 và WebAssembly không bị ảnh hưởng.
• Khoảng thời gian phơi nhiễm: Từ 12:47 đến 14:21 UTC vào ngày 19 tháng 10 năm 2026.
• Phương pháp phát hiện: Các tệp nhị phân độc hại hiển thị một pseudo-version giống như v0.15.1-0.20261013083505-5ead8ef9b43d+dirty và chứa -ldflags="-s -w", trong khi các bản phát hành chính thống hiển thị số thẻ và không có dòng ldflags.
• Đường dẫn cài đặt an toàn: Người dùng Homebrew được bảo vệ vì các cask đã ghim (pin) các giá trị SHA-256 gốc, khiến các lần tải xuống không khớp sẽ thất bại. Hình ảnh Docker và phương pháp go install cũng không bị ảnh hưởng.
• Hash độc hại: Giá trị SHA-256 cho tệp lưu trữ Linux arm64 v0.15.0 bị hoán đổi là 3833daffcaaaab27e4e0e0833240ffcb1df8df648f4ec0bc4a75c176e28933cb.

Tại sao điều này quan trọng

Sự cố này làm nổi bật sự mong manh của bảo mật chuỗi cung ứng khi tính bất biến của bản phát hành không được thực thi. Nhiều nhà phát triển phụ thuộc vào các script cài đặt hoặc tải xuống trực tiếp từ các bản phát hành GitHub mà không xác minh chữ ký mật mã hoặc ghim các giá trị hash. Ví dụ, script cài đặt chính thức của OVHcloud tải xuống tệp lưu trữ mới nhất mà không kiểm tra hash, khiến bất kỳ người dùng nào chạy nó trong khoảng thời gian 94 phút đều dễ bị tổn thương. Tương tự, các job CI lấy tệp lưu trữ mà không ghim hash sẽ âm thầm cài đặt phiên bản độc hại.

Đối với các nhóm kỹ thuật, đây là lời nhắc nhở quan trọng rằng niềm tin vào các cộng tác viên của một kho lưu trữ phải được cân bằng với các biện pháp bảo vệ kỹ thuật. Ngay cả khi pipeline xây dựng an toàn, việc thao túng trực tiếp các tài sản của bản phát hành có thể hoàn toàn vượt qua nó. Việc người dùng Homebrew được bảo vệ chứng minh giá trị của các trình quản lý gói buộc phải ghim hash, trong khi những người sử dụng cài đặt thủ công hoặc script tùy chỉnh phải đối mặt với rủi ro cao hơn. Việc xoay vòng (rotate) các bí mật giờ đây là bắt buộc đối với bất kỳ ai có thể đã thực thi tệp nhị phân bị xâm nhập, vì phần mềm độc hại có khả năng đã trích xuất tất cả các bí mật có thể đọc được từ máy chủ.

Bạn có thể làm gì

• Xoay vòng mọi bí mật được lưu trữ trên các máy có thể đã chạy CLI bị xâm nhập, sử dụng một máy khác, sạch để thực hiện việc xoay vòng.
• Xóa tệp nhị phân OVHcloud CLI hiện tại và cài đặt phiên bản v0.16.0, được công bố dưới dạng bản phát hành bất biến kèm theo attestation.
• Xác minh các tệp lưu trữ đã tải xuống bằng lệnh GitHub CLI gh release verify-asset v0.16.0 FILE để đảm bảo tính toàn vẹn.
• Bật tính bất biến của bản phát hành (release immutability) trên các kho lưu trữ GitHub của riêng bạn để ngăn chặn việc sửa đổi trái phép các tài sản của bản phát hành hiện có.
• Ghim các giá trị hash SHA-256 trong các pipeline CI/CD và script cài đặt thay vì phụ thuộc vào các thẻ latest động hoặc các lần tải xuống không được kiểm tra.
• Kiểm toán mức độ truy cập của cộng tác viên và áp dụng xác thực đa yếu tố (MFA) để giảm nguy cơ bị xâm nhập tài khoản.