資安業者Rapid7原始碼因Codecov攻擊而外洩

程式碼覆蓋率（Code Coverage）解決方案供應商Codecov在今年的4月中旬，對外宣布遭到駭客入侵，危及採用Codecov服務的眾多客戶，美國資安業者Rapid7則於本周表示，該公司內部所使用的某些工具程式碼因此而外洩，但並未波及產品程式碼。

根據Codecov的說法，該公司Docker映像檔的建立程序含有一個錯誤，而讓駭客盜走了可用來存取與竄改Bash Uploader腳本程式的憑證。Bash Uploader主要是讓客戶把程式碼覆蓋率報告傳送至Codecov，駭客變更了該腳本程式，以將存放於客戶持續整合（Continuous Integration，CI）環境中的資訊，匯出至由駭客代管的伺服器上。此外，Codecov的調查顯示，其Bash Uploader腳本程式最早在今年的1月31日，就遭到駭客破壞。

Rapid7則說，在得知此一意外之後，該公司立即展開安全意外回應程序，結合第三方的資安鑑識公司，調查內部環境可能受到的影響，不過，Rapid7對Bash Uploader腳本程式的使用是有限的，只在單一的CI伺服器上測試及建置某些內部使用的工具，而這些工具只應用在Managed Detection and Response（MDR）服務上。

因此，只有應用在MDR服務上的某些內部工具的程式碼，遭到未經授權的存取，包含內部憑證，以及少數MDR客戶的警報相關資料。Rapid7已經變更這些憑證，通知受影響的客戶，且無其它企業系統或產品環境遭到存取。

Codecov在全球有2.9萬家客戶，且不乏知名業者，包括P&G、GoDaddy與IBM等，迄今Codecov並未對外公布遭到波及的客戶數量，但已個別通知受影響的客戶。