Das französische Cloud-Computing-Unternehmen OVHcloud hat seine Benutzer davor gewarnt, dass sein Open-Source-Kommandozeilentool (CLI) kompromittiert wurde. Dabei wurde das Konto eines Entwicklers ausgenutzt, um auf das Software-Repository auf der Plattform GitHub zuzugreifen und bestimmte Versionen des Tools zu modifizieren, um Schadsoftware einzuschleusen.
Details zum Einbruch und betroffene Versionen
Der CEO des Unternehmens, Octave Klaba, erklärte, dass der Angriff auf die Versionen v0.11.0 bis v0.15.0 abzielte. Die verdächtige Aktivität wurde am 19. Oktober 2026 festgestellt, als es den Angreifern gelang, die üblichen Überprüfungen (CI/CD) zu umgehen, indem sie die Deaktivierung der Funktion zur „Unveränderlichkeit“ (Release Immutability) im GitHub-Repository ausnutzten, was das Hochladen lokal erstellter, manipulierter Softwarepakete ermöglichte.
Das Unternehmen bestätigte, dass ältere Versionen (v0.10.0) und die neueste Version (v0.16.0) völlig sicher sind und von dem Angriff nicht betroffen waren. Untersuchungen ergaben zudem, dass der Angriff mit GlassWorm zusammenhängen könnte, einer Bedrohungskampagne, die seit Ende 2025 aktiv ist und verschiedene Software-Entwicklungsumgebungen ins Visier nimmt.
Was bedeutet das für die Benutzer?
Das Hauptziel der Schadsoftware ist es, auf den Festplatten von Entwicklern und Systemadministratoren gespeicherte „Geheimnisse“ (Secrets) zu extrahieren. Da das Tool zur Verwaltung von Cloud- und Hosting-Diensten verwendet wird, gilt jedes Gerät, auf dem die infizierten Versionen ausgeführt wurden, als vollständig kompromittiert.
- Betroffene Systeme: macOS (Intel und ARM), Linux (x86_64 und ARM64) sowie Windows x86-64.
- Sichere Systeme: Docker-Images oder Builds aus dem Quellcode (Source builds) waren nicht betroffen.
Erforderliche Abhilfemaßnahmen
OVHcloud empfiehlt allen Benutzern, die die betroffenen Versionen heruntergeladen haben, dringend, sofort folgende Schritte einzuleiten:
- Das infizierte Tool vollständig vom System entfernen.
- Eine gründliche Bereinigung des Geräts durchführen.
- Alle Geheimnisse und Programmierschlüssel ändern und ungültig machen, die auf dem Gerät gespeichert waren, da davon ausgegangen wird, dass sie sich im Besitz der Angreifer befinden.
Das Unternehmen hat die Funktion zur „Unveränderlichkeit“ auf GitHub aktiviert, um solche unbefugten Änderungen in Zukunft zu verhindern, und erklärte, dass der Vorfall eingedämmt wurde.