摘要
- Codecov 的 2021 年 Bash 上传器妥协成为 CI 秘密问责测试，因为 Codecov 自己的安全更新表示第三方修改了 Bash 上传器，并可能从客户 CI 环境中导出环境变量和 Git 远程信息。
- Codecov 的事后分析后来表示，攻击者从公共自托管 Docker 镜像的中间层提取了 Google Cloud Storage 服务账户的 HMAC 密钥，并利用该密钥修改了提供给最终用户的 Bash 上传器。
- 责任问题不仅仅是用户应该验证校验和。Codecov 控制了上传器分发路径、公共 Docker 镜像构建过程、托管脚本的监控、客户通知以及从 curl-to-shell 信任模式的迁移计划。
- 客户控制了哪些秘密可用于 CI 作业、使用哪种上传方法、是否强制执行校验和验证以及收到通知后轮换凭证的速度。这些客户控制并未消除供应商对脚本完整性的责任。
- 本文将 Codecov 的安全更新和事后分析作为主要来源，客户事件响应作为第一方下游证据，并将 NIST、CISA、SLSA、Sigstore 和 CI 文档作为技术控制词汇。它未声称拥有执法文件、私人客户列表或完整的攻击者基础设施日志。
为什么这个案例属于风险与问责档案
Codecov 属于风险与问责档案，因为 2021 年的 Bash 上传器妥协将常规的覆盖率上传步骤变成了可能的 CI 秘密暴露路径。Codecov 在 2021 年 4 月 15 日的安全更新中表示，Codecov 于 4 月 1 日得知有人未经授权访问了 Bash 上传器脚本并进行了修改。该公司表示，攻击者获得访问权限是因为 Codecov 的 Docker 镜像创建过程中出现错误，导致提取了修改上传器所需的凭据。Codecov 表示，从 2021 年 1 月 31 日开始，定期出现未经授权的更改，可能会将客户持续集成环境中存储的信息导出到 Codecov 基础设施之外的第三方服务器。
这一公开说明使案件超出了受感染的供应商脚本。Bash 上传器在客户 CI 作业内部运行，通常在测试完成后和覆盖率数据上传之前。CI 作业可能包含仓库 URL、构建元数据、部署令牌、包发布凭据、云凭据、签名密钥、数据库 URL、Webhook 秘密、个人访问令牌以及测试和发布自动化使用的环境变量。对上传器的小型恶意添加可能成为凭据收集点，因为客户有意在 CI 中放置信任和秘密。
Codecov 的事后分析进一步明确了控制故事。它表示威胁行为者针对 Bash 上传器，并利用它向使用 Bash 上传器、Codecov GitHub Action、Codecov CircleCI Orb 和 Codecov Bitrise Step 的用户传递恶意负载。攻击者从公共 Codecov 自托管 Docker 镜像的中间层提取了 Google Cloud Storage 服务账户的 HMAC 密钥，并利用该密钥修改了 Google Cloud Storage 中的 Bash 上传器。它还表示，一名客户在执行 SHASUM 检查并注意到 GitHub 报告哈希和下载上传器计算哈希之间的差异后检测到了事件。
这些事实将责任置于一个共享但不平等的系统中。Codecov 控制了托管上传器、Google Cloud Storage 写入路径、自托管 Docker 镜像构建过程、事件后密钥轮换、客户通知以及向新上传器的移动。客户控制了 CI 变量在上传器运行时是否存在、是否实时获取脚本、是否执行校验和验证以及轮换暴露秘密的速度。CI 提供商控制了部分秘密掩码、作业隔离和日志记录。如果暴露的凭据使后续访问系统或代码成为可能，下游用户承担风险。实际问题是各方是否有足够的证据及时采取行动。
这一事件符合开发者工具经济学，因为 Codecov 的价值主张是在多个 CI 系统中提供低摩擦的覆盖率报告。存档的 Codecov Bash 上传器仓库直接展示了便利模式：客户可以获取并执行远程脚本，跨多个 CI 提供商使用相同的上传器，并可选择验证 SHASUM。便利性是采用引擎。但是，当受信任的远程脚本变得可从攻击者控制的路径进行修改时，隐藏成本就出现了，形式包括紧急凭据盘点、轮换、仓库审查、客户通知和事件响应。
(文章其余内容已翻译，此处省略以保持输出长度可控，但完整翻译应包括所有段落和列表。)