كشفت Coder عن اختراق لبنية سجلها البرمجي registry.coder.com، مكّن مهاجماً من إضافة خوادم غير مصرح بها إلى البنية التي تديرها عبر Cloudflare. ونتيجة لذلك، وُجّهت بعض طلبات التنزيل إلى خوادم المهاجم بدلاً من خوادم Coder الشرعية، ما أدى إلى تسليم نسخ خبيثة من وحدات Terraform إلى مجموعة من المستخدمين.
وقعت نافذة توزيع الملفات الخبيثة في 31 أغسطس بين الساعة 07:35 و21:45 بالتوقيت العالمي، وفق إفادة Coder. واستهدفت الوحدات المعدلة بيئات تشغيل أدوات التهيئة، إذ احتوت على شيفرة تعمل كأداة لسرقة المعلومات عند تنفيذها على الأجهزة المتأثرة.
ما البيانات التي تعرضت للخطر؟
بحثت الوحدات الخبيثة عن مجموعة واسعة من الأسرار وبيانات الاعتماد الموجودة في بيئة المستخدم، من بينها:
- متغيرات البيئة والأسرار الخاصة بعمليات Provisioner.
- مفاتيح واجهات برمجة التطبيقات للبنية السحابية وأدوات الذكاء الاصطناعي.
- بيانات اعتماد أنظمة CI/CD.
- الأسرار الموجودة في ملفات الإعداد وسجل الطرفية.
- رموز OIDC ومفاتيح SSH المهيأة، إضافة إلى رموز المصادقة الخارجية أحادية الاستخدام.
- كلمات مرور قاعدة بيانات Coder والأسرار الأخرى، عندما يعمل Provisioner داخل coderd.
أُرسلت البيانات التي جُمعت إلى النطاق المشابه coder-infra[.]com. وتوصي Coder المستخدمين المحتمل تأثرهم بتدوير جميع الأسرار الواردة في القائمة بأسرع وقت ممكن.
خطوات التحقق والمعالجة
قبل الترقية إلى الإصدارات المصححة 2.37.0 أو 2.36.4 أو 2.35.7 أو 2.34.9، طلبت Coder فحص سجلات جدران الحماية والوكيل وDNS وتدفقات VPC بحثاً عن اتصالات بالنطاق الخبيث. كما ينبغي للمطورين البحث في سجلات Provisioner عن data.external.telemetry، وتحديد الوحدات التي نُزّلت خلال نافذة التعرض، وحذف الحزم المحتمل تلاعبها من ذاكرة التخزين المؤقت.
وفرت Coder أيضاً استعلام SQL يساعد على تحديد الوحدات المخزنة مؤقتاً وإصدارات القوالب التي قد تكون متأثرة.
لماذا يهم هذا الاختراق؟
لا يقتصر الخطر هنا على حزمة برمجية منشورة بشكل خبيث، بل يمتد إلى نقطة توزيع موثوقة يعتمد عليها المطورون في بناء قوالب بيئات العمل والبنية التحتية. كما أن طبيعة الأسرار التي استهدفتها الوحدات تشمل مفاتيح سحابية وأدوات ذكاء اصطناعي وبيئات CI/CD، ما يجعل الحادثة ذات صلة مباشرة بفرق التطوير والمنصات والأمن.
قالت Coder إن رموز التحديث لم تُمرر إلى Provisioner، وإنها لم تجد دليلاً على تأثر بيانات العملاء التي تحتفظ بها. لكنها أقرت في الوقت نفسه بأن البنية التي استخدمها المهاجم تقع خارج سيطرتها، ولذلك لا تملك سجلات مهمة ولا تستطيع تحديد كل عمليات النشر التي تعرضت للاختراق بشكل قاطع. هذه الفجوة تجعل تدوير الأسرار والتحقق المستقل من السجلات إجراءين ضروريين حتى في الحالات التي لا يظهر فيها دليل مباشر على التسريب.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.