OVHcloud alerte ses clients : changez tous les secrets stockés sur votre PC

Si vous avez installé ou mis à jour l’outil en ligne de commande d’OVHcloud ce lundi 19 octobre, partez du principe que vos mots de passe et vos clés d’accès ont pu fuiter.

Dans un message publié sur X, Octave Klaba, fondateur et président de l’hébergeur roubaisien, a confirmé qu’un pirate avait piégé la version mise en ligne à 14 h 47 sur GitHub. Le programme ajouté fouillait le disque de la machine pour y récupérer les secrets, ces identifiants qui ouvrent l’accès à vos serveurs et à vos services.

Le logiciel visé est le CLI officiel d’OVHcloud (pour command line interface). Avec cet outil, on gère ses services en tapant des commandes dans un terminal au lieu de cliquer dans l’espace client. Il pilote les serveurs dédiés, les VPS, le Public Cloud ou les noms de domaine, et sert souvent dans des scripts d’automatisation. Son code est publié en open source sur le dépôt GitHub ovh/ovhcloud-cli. Il s’adresse surtout aux développeurs et aux administrateurs système, dont les machines contiennent justement beaucoup d’accès sensibles.

1 h 34 d’exposition, jusqu’au signalement d’un client

Le pirate a utilisé le compte GitHub d’un développeur d’OVHcloud. Avec ce compte, il a ajouté au dépôt un binaire (un programme prêt à être exécuté) chargé de récupérer les secrets stockés sur le disque. On ne sait pas encore comment il a pris le contrôle du compte.

Les versions v0.11.0, v0.12.0, v0.13.0, v0.14.0 et v0.15.0 sont compromises. Par contre, la v0.10.0 est saine, tout comme la v0.16.0 publiée depuis. OVHcloud a repéré et bloqué l’attaque à 16 h 21, soit 1 h 34 après la mise en ligne, parce qu’un client lui a signalé le problème.

Le site Cyberattaque.org a retrouvé sur GitHub l’alerte d’un utilisateur dont l’installation automatique avait échoué. Son système vérifiait l’empreinte SHA-256 du fichier téléchargé, une sorte de signature calculée à partir de son contenu. Les fichiers d’anciennes versions avaient été remplacés, et l’empreinte ne correspondait plus. Rien ne confirme officiellement qu’il s’agit du client remercié par Octave Klaba.

Version, mise à jour, secrets : ce qu’il faut faire

Octave Klaba demande aux utilisateurs concernés de mettre le CLI à jour très vite, ou de l’effacer. Ensuite, il faut changer « tous les secrets » présents sur le disque. Voici l’ordre à suivre :

• Vérifiez votre version en tapant ovhcloud version dans un terminal. Si elle va de v0.11.0 à v0.15.0 et que vous l’avez téléchargée ou mise à jour ce lundi, vous êtes concerné. Dans le doute, faites comme si.
• Supprimez le programme, puis installez la v0.16.0 avec le script officiel ou Homebrew. Vérifiez ensuite que le numéro de version a bien changé.
• Changez d’abord vos clés API OVHcloud. Le CLI les range dans le fichier .ovh.conf de votre dossier personnel ou dans des variables d’environnement, donc à portée directe du programme pirate. Révoquez-les dans votre compte OVHcloud, puis générez-en de nouvelles avec ovhcloud login.
• Passez ensuite au reste : clés SSH, jetons GitHub, identifiants d’autres clouds, mots de passe écrits en clair dans des fichiers de configuration.
• Si le CLI tournait dans une chaîne d’intégration continue (les scripts qui testent et déploient le code automatiquement), changez aussi les secrets de cette machine.

OVHcloud n’a pas encore dit combien de personnes ont téléchargé les versions piégées. Octave Klaba a promis de publier « sous peu » plus de détails sur le binaire.