OVHcloudは2026年10月19日、攻撃者が同社公式のコマンドラインインターフェースのGitHubリポジトリを侵害し、開発者のGitHubアカウントを使って、ユーザーのディスクから機密情報（シークレット）を盗み出すよう設計された悪意あるバイナリを配布していたことを明らかにしました。
顧客から不審なリリースの報告があり、このクラウドプロバイダーが調査してブロックしました。OVHcloudのOctave Klaba CEOの声明によると、侵害されたリリースは14:47に公開され、16:21に検知・ブロックされました。露出していた時間は94分間です。
影響を受けたバージョンは、v0.11.0、v0.12.0、v0.13.0、v0.14.0、v0.15.0です。Klaba氏は、v0.10.0と近日公開予定のv0.16.0には問題がないとしています。同氏は次のように述べました。「ハッカーは開発者の1人のGitHubアカウントを使い、ディスクからシークレットを取得することを目的としたバイナリを追加しました」
同氏はこのバイナリの品質は低いとしながらも、目的を果たす可能性はあると警告しています。今回の発表は、アカウントの侵害が侵入口だったと特定していますが、攻撃者がどのようにアクセス権を得たかは説明していません。
また、攻撃者が認証情報の窃取に成功したかどうか、悪意あるバイナリをダウンロードまたは実行したユーザーの数、影響を受けたOSについても明らかにしていません。
このCLIは、OVHcloudの製品やアカウントのリソース、自動化ワークフローをサポートする正規の管理ツールです。ドキュメントによると、認証には設定ファイルや環境変数を使い、アプリケーションシークレットやコンシューマーキーなどが含まれます。
このため、開発環境は重大な標的となります。ただし、公表された情報からは、マルウェアが収集する範囲の詳細までは分かっていません。
提供されたインシデント報告によると、顧客はGitHubアカウント「HassenBF」に関連する変更に疑問を呈しました。このアカウントは、OVH組織のメンバーやリポジトリの貢献者として公には記載されていないと指摘しています。
この顧客は、非公開のメンバーシップであれば食い違いを説明できる可能性は認めました。それでも、予期しないビルドと合わせて不審だと感じたといいます。
顧客はさらに、再ビルドされたリリース資産について説明を求め、自社チームはモジュールプロキシ経由のビルドに切り替えたと述べています。リポジトリには非公開の脆弱性報告チャネルが有効になっていなかったため、問題を公開の場で報告したとのことです。
Thestackによると、初期調査では、ほかに影響を受けたリポジトリは見つかっていません。この結果は現時点で報告されている範囲を限定するものですが、露出した可能性のあるすべての開発環境が無事だったと確定するものではありません。
OVHcloudは、影響を受けたCLIをダウンロードしたユーザーに対し、直ちに更新するか削除するよう呼びかけました。Klaba氏はさらに、影響を受けたユーザーはディスクに保存されているすべてのシークレットを変更するよう助言しています。
実行ファイルを入れ替えれば侵害されたソフトウェアには対処できますが、認証情報がすでに収集された可能性には、シークレットのローテーションで別途対処する必要があります。同社はバイナリの解析を続けているとして、追加の技術的な詳細を公表すると約束しました。
今回のインシデントは、プロジェクトのソースリポジトリを信頼することと、配布される実行ファイルを信頼することは別だという点を浮き彫りにしています。
今回報告された悪意あるコンポーネントは、公に記録されたソースコードの脆弱性ではなく、侵害された開発者アカウントを通じて持ち込まれたバイナリでした。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。自社チームで試す
翻訳元: https://cyberpress.org/hackers-compromise-ovhcloud-cli-github-repository/
