Sommaire
Octave Klaba a donné l’alerte ce lundi 19 octobre sur X : la CLI officielle d’OVHcloud — l’outil en ligne de commande qui sert à piloter ses services depuis un terminal, publié sur GitHub (dépôt ovh/ovhcloud-cli) — a été compromise. Un pirate, passé par le compte GitHub d’un des développeurs, y a ajouté un binaire dont le travail est de récupérer les secrets stockés sur le disque. La version mise en ligne à 14 h 47 a été détectée et bloquée à 16 h 21, grâce au signalement d’un client.
Les versions concernées sont les v0.11.0 à v0.15.0 : si vous avez téléchargé la CLI ce lundi, mettez-la à jour immédiatement ou supprimez-la. La v0.10.0 est saine, et la v0.16.0 publiée dans la foulée l’est aussi — nous avons vérifié sa présence sur le dépôt GitHub. OVHcloud recommande aux personnes concernées de changer tous les secrets présents sur leur machine, clés API comprises. Selon les premières vérifications, aucun autre dépôt du groupe n’est touché ; l’analyse du binaire se poursuit et des détails supplémentaires doivent être publiés sous peu.
Lento dit : Le maillon faible, ce n’était pas les serveurs d’OVH, c’est le compte GitHub d’un développeur. Si vous avez touché à cette CLI aujourd’hui, ne discutez pas : mise à jour ou suppression, et rotation de toutes vos clés API dans la foulée. Dix minutes de boulot contre des secrets qui traînent on ne sait où — le calcul est vite fait.
De qui parle cet article
