Forsyningskjedeangrep mot Checkmarx rammet Docker-bilder og utvidelser

Forskere hos Socket og Docker har avdekket et forsyningskjedeangrep mot Checkmarx' KICS-økosystem, med kompromitterte Docker-bilder og flere utvidelser til Visual Studio Code. Aktøren skaffet seg legitimasjon og la ut skadelige bilder i Checkmarx' KICS-repositorium på Docker Hub. Videre undersøkelser tyder på at også annet utviklerverktøy fra Checkmarx kan være berørt. Nyere versjoner av utvidelsene til Visual Studio Code fikk mulighet til å laste ned og kjøre tilleggskomponenter uten at brukeren bekreftet det. Angrepene henger sammen gjennom felles funksjonalitet og infrastruktur, og formålet ser i begge tilfeller ut til å være innhenting av legitimasjon og videre spredning gjennom npm.

Hva det betyr for virksomheten

KICS brukes til å skanne infrastrukturkode for feil, altså et verktøy som per definisjon kjører i byggeprosessen med tilgang til det som bygges. Når et sikkerhetsverktøy blir angrepsvektoren, treffer det på et sted de fleste kontroller ikke ser etter. Konsekvensen for en norsk virksomhet er sannsynligvis stjålet legitimasjon fra byggemiljøet, og den legitimasjonen åpner ofte skyplattformen.

Berigo anbefaler

• Sjekk om byggekjedene deres har hentet KICS-bilder fra Docker Hub i den berørte perioden, og hvilke versjoner som ble brukt.
• Roter alle hemmeligheter som byggemiljøet har hatt tilgang til, uten å vente på bekreftelse på at dere ble rammet.
• Fest byggeavhengigheter til bestemte, verifiserte versjoner framfor flytende merkelapper som latest.
• Begrens hva byggejobber får lov til å nå ut mot på nettverket, slik at nedlasting av tilleggskomponenter stoppes.

Kilde

• socket.dev
• docker.com