OVHcloud CLI malo kompromitované release archívy, používatelia majú rotovať tajomstvá

OVHcloud CLI kompromitácia zasiahla release aktíva zverejnené na GitHube. Útočník nahradil archívy pripojené k už existujúcim vydaniam nástroja, pričom OVHcloud za kompromitované označilo verzie v0.11.0 až v0.15.0. Podľa spoločnosti mohol škodlivý binárny súbor získavať tajomstvá uložené na disku zariadenia, na ktorom bol spustený.

Incident sa týka iba inštalácií alebo aktualizácií, pri ktorých používateľ stiahol a spustil zamenené release aktíva počas okna 19. októbra 2026, približne medzi 12:47 a 14:21 UTC. Používatelia, ktorí nástroj v tomto čase neinštalovali ani neaktualizovali z dotknutých príloh, podľa dostupných informácií nie sú týmto konkrétnym prípadom zasiahnutí.

OVHcloud CLI kompromitácia sa týkala príloh k releasom

Dostupné zistenia nehovoria o úprave zdrojového kódu, gitových tagov ani oficiálneho build pipeline. Zmenené mali byť priamo binárne archívy priložené k existujúcim GitHub releasom. Ide preto o útok na dodávateľský reťazec, pri ktorom môže používateľ získať škodlivý súbor aj vtedy, keď kontroluje starší tag alebo zdrojový kód projektu.

OVHcloud dotknuté súbory odstránil a 19. októbra vydal verziu v0.16.0. GitHub ju označuje ako immutable release, čo znamená, že jej release aktíva nemožno dodatočne meniť. Táto verzia je určená ako dôveryhodná náhrada za kompromitované vydania.

Čo majú dotknutí používatelia urobiť

Samotné odstránenie podozrivej binárky nie je podľa OVHcloud dostatočné. Ak bol nástroj stiahnutý a spustený v uvedenom časovom okne, používateľ by mal preinštalovať dôveryhodnú verziu v0.16.0 a zmeniť lokálne uložené tajomstvá.

• Overiť, či pracovná stanica alebo CI prostredie nestiahli a nespustili OVHcloud CLI vo verziách v0.11.0 až v0.15.0 počas dotknutého okna.
• Nahradiť inštaláciu dôveryhodnou verziou v0.16.0.
• Rotovať API kľúče, cloudové poverenia a ďalšie tajomstvá, ktoré mohli byť lokálne uložené na zasiahnutom systéme.
• Sledovať ďalšie pokyny OVHcloud, najmä prípadné indikátory kompromitácie, hashe škodlivých súborov a odporúčania pre detekciu.

Riziko sa netýka len individuálnych vývojárskych počítačov. CLI nástroje sa často používajú aj v automatizovaných CI prostrediach, kde môžu mať prístup k API tokenom, cloudovým povereniam alebo iným údajom potrebným na nasadzovanie a správu infraštruktúry.

Čo zatiaľ nie je potvrdené

OVHcloud verejne nepotvrdil spôsob prevzatia GitHub účtu prispievateľa, cez ktorý sa mohli release aktíva vymeniť. Nie je známy ani počet systémov, na ktorých bol škodlivý binárny súbor spustený, ani to, aké konkrétne tajomstvá mohli byť získané alebo exfiltrované.

V niektorých technických správach sa objavila možná súvislosť so skupinou GlassWorm. OVHcloud túto atribúciu nepotvrdil, preto ju zatiaľ nemožno považovať za overenú.

Prípad upozorňuje na rozdiel medzi integritou zdrojového kódu a integritou distribuovaných binárnych artefaktov. Pri automatizovanom sťahovaní release súborov má význam kontrolovať hashe a používať mechanizmy, ktoré obmedzujú dodatočnú zmenu už publikovaných príloh.

Overené a aktualizované: 20. 10. 2026 15:20