公司表示，他们已经解决了这个漏洞，不过目前还无法确定是谁实施了入侵。
根据多家外媒报道，日前，一个用于测试代码的客户平台codecov被曝出存在严重的安全漏洞，该公司也已经承认了漏洞的存在，并表示，漏洞在此前已经存在了几个月，但始终没有被发现。
美国联邦调查人员正在进行相关调查。
据了解，codecov在世界各地拥有超过29000个客户，可以想见影响范围之广。
根据路透社报道统计，此次违规事件已经影响了众多客户，其中包括atlassian，proctor＆gamble，godaddy和《华盛顿邮报》。不过公司ceo jerrod engelberg发表的安全更新中，尚没有明确提及受影响用户的数量。
目前，codecov表示，除了网站上的声明外，其他一切都不予置评。
在该安全更新中，engelberg写到，黑客获得了对公司bash uploader脚本的未经授权的访问，并对其进行了修改，从而使其可以潜在访问存储在客户连续集成环境中的任何凭据、令牌或密钥以及任何服务，然后将访问的数据发送到codecov外部的第三方服务器。
codecov的bash uploader也用在三个相关的上传器（uploader）中：github的codecov-actions，codecov circlecl orb和codecov bitrise step，这些都受到影响。
根据codecov最新表示，他们已经解决了这个漏洞，系统和服务已经是安全可使用的了，不过目前还无法确定是谁实施了入侵。
“由于codecov的docker映像创建过程中出现的错误，黑客获得了访问权限，该错误使黑客能够提取修改我们的bash uploader脚本所需的凭据，”engelberg说，“在意识到这一问题后，codecov立即保护并修复了受影响的脚本，并开始调查对用户的任何潜在影响”。
该公司补充说，他们已经聘请了第三方法证公司来帮助其分析对用户的影响。同时，也已经将此事件报告给了执法部门，并正在与他们进行合作。
对该事件进行调查后，该公司确定黑客于今年1月31日开始对其bash uploader脚本进行了定期更改。4月1日，当一名客户检测到并报告了bash uploader的差异时，codecov于此时获悉了该违规行为。
codecov表示，它已于4月15日通过电子邮件将受影响的用户发送到github、gitlab和bitbucket归档的电子邮件，并在受影响的用户登录codecov后启用了通知横幅。该公司表示，使用自托管版本的codecov的客户不太可能受到影响。
“我们强烈建议受影响的用户在使用codecov的bash uploaders之一的ci流程中立即重新滚动其位于环境变量中的所有凭据、令牌或密钥。” engelberg说。
路透社指出，该事件正在与美国政府归咎于俄罗斯对外情报局的大规模solarwinds黑客事件进行比较，原因是它可能对各个组织产生影响，并且由于未发现攻击的时间长。重要的是，codecov的范围尚不清楚。
codecov表示，已经采取了许多措施来解决安全问题，包括轮换所有相关的内部凭据、设置监视和审核工具，以确保威胁行为者无法再次修改bash uploader，以及与第三者的托管提供商合作。
来源：https://36kr.com/p/1191176653719809
试用申请
产品咨询：4000 258 365 
