19 октября 2026 года в репозитории OVHcloud CLI заметили подмену файлов уже выпущенных релизов. Пользователь обнаружил, что контрольные суммы загружаемого архива перестали совпадать с зафиксированными в автоматической сборке. Проверка показала: к ранее опубликованным версиям прикрепили новые бинарные файлы, которые не соответствовали исходному тегу и стандартному процессу выпуска. Представители проекта признали проблему, удалили замененные файлы и подготовили новую версию.
Инцидент отличается от обычного взлома исходного кода. Указатели тегов в GitHub оставались прежними, но файлы, доступные через страницу релиза, изменились после первоначальной публикации. Это опасно для организаций, где установка инструмента автоматизирована и скрипты доверяют архиву по имени версии. Действительная строка v0.15.0 на странице загрузки сама по себе не гарантировала, что внутри архив, собранный из одноименного тега.
Как обнаружили подмену
Автор сообщения об ошибке заметил несоответствие SHA-256 у архива для Linux ARM64. В публичном обсуждении перечислены замены файлов в релизах v0.13.0, v0.14.0 и v0.15.0, включая отдельные сборки для Linux, macOS, Windows и файл контрольных сумм. При анализе бинарника v0.15.0 выяснилось, что он был собран из более позднего коммита с локальными незакоммиченными изменениями, а не из соответствующего тега. Это стало первым проверяемым признаком постороннего вмешательства.
Почему замена checksum-файла особенно опасна
Файл checksums.txt обычно позволяет сверить скачанный архив с опубликованным разработчиком контрольным значением. Однако если атакующий способен одновременно заменить и сам архив, и список контрольных сумм, простая проверка по данным той же страницы теряет смысл. Надежнее сравнивать значения с ранее зафиксированным независимым источником либо проверять подписанный выпуск и его происхождение. Именно закрепленная в CI контрольная сумма помогла здесь обнаружить изменение.
Что сделали разработчики OVHcloud
В ответах к публичному обращению представитель проекта подтвердил удаление подозрительных бинарных файлов и сообщил о выпуске OVHcloud CLI v0.16.0. Тег новой версии подписан, а релиз объявлен неизменяемым, чтобы приложенные файлы нельзя было бесшумно заменить. Компания также опубликовала отдельное предупреждение безопасности GHSA-862f-55f5-vmvw. Подробное расследование причин и каналов доступа разработчики обещали представить позже.
Сам факт замены артефактов не раскрывает, был ли использован украденный токен, скомпрометированная учетная запись или иной способ доступа к публикации релизов. До завершения расследования эти версии нельзя выдавать за установленные причины. Для пользователей принципиально проверить, какая сборка была скачана в подозрительное окно 19 октября, и не оставлять потенциально опасный бинарник в окружениях с доступом к облачным учетным данным.
Чему учит эта атака на цепочку поставок
Случай OVHcloud показывает слабость практики, при которой один сервис одновременно хранит исходники, теги, исполняемые файлы и новые контрольные суммы. Если атакующий получает право менять прикрепленные файлы, имя релиза перестает быть надежной гарантией происхождения. Команды могут снизить риск, используя воспроизводимые сборки, подписанные неизменяемые релизы и проверку происхождения артефактов в CI. Сама компания уже включила механизмы защиты новых выпусков.
Вопросы и ответы (FAQ)
Что произошло с OVHcloud CLI?
19 октября файлы некоторых опубликованных релизов были заменены бинарниками, не соответствовавшими исходным тегам.
Какие версии упомянуты в обнаружении?
Первоначальный отчет перечислял релизы v0.13.0, v0.14.0 и v0.15.0; официальный бюллетень уточняет охват инцидента.
Как обнаружили проблему?
Контрольная сумма скачанного файла не совпала со значением, заранее закрепленным в CI.
Что сделала компания?
Подозрительные артефакты удалили и выпустили v0.16.0 с подписанным тегом и неизменяемыми файлами.
Можно ли доверять одному файлу checksums.txt?
Если он хранится рядом с архивом и может заменяться теми же правами, одной такой проверки недостаточно.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
