近日，据BleepingComputer报道，美国网络安全公司Rapid7披露遭遇了Codecov供应链攻击，部分源代码存储库在网络攻击事件中泄漏。
Rapid7已通知可能受到此漏洞影响的“一小部分客户”，以采取措施减轻任何潜在风险。
仅访问内部凭证和工具源代码
Rapid7声称，攻击者只能访问存储库的“一小部分”，其中包括Rapid7的托管检测和响应(MDR)服务内部工具的源代码。
Rapid7透露：“这些(泄漏的)存储库包含一些内部凭证，这些凭证目前都已经被轮换，此外还包括一部分客户的MDR警报相关的数据。攻击者没有访问其他公司系统或生产环境，也没有对这些存储库进行未经授权的更改。”
这家网络安全公司补充说，上个月供应链攻击中被黑客入侵的Codecov工具并未用于其生产代码。
Rapid7说：“我们对Codecov的Bash Uploader脚本的使用很有限：仅在用于测试和开发托管检测和响应(MDR)服务的一些内部工具的单一CI服务器上设置。我们没有在用于生产代码的任何CI服务器上使用Codecov。”
黑客窃取了开发人员凭证、源代码
拥有超过29,000家企业企业客户的流行代码覆盖解决方案公司Codecov于4月15日披露，未知攻击者恶意更改了其Bash Uploader脚本。
Codecov供应链攻击者可以从客户的持续集成(CI)环境中收集敏感信息(例如凭据、令牌或API密钥)，并将其发送到攻击者控制的服务器。
数天后，联邦调查人员发现，Codecov黑客将被盗凭证的测试过程自动化，从而成功入侵了数百个Codecov客户的网络。
在4月1日披露攻击事件两周后，Codecov才开始通知受供应链攻击影响的客户，告知他们未知攻击者可能已经下载了客户的源代码存储库。
Codecov的客户之一，开源软件制造商HashiCorp透露，用于签名和验证软件版本的代码签名GPG私钥已在攻击中暴露。
云通信公司Twilio还透露，它也受到了Codecov供应链攻击的影响，但关键系统没有受到影响。
建议Codecov客户尽快扫描其网络和CI/CD环境，以检测是否遭到攻击。
【本文是51CTO专栏作者“安全牛”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】
