Le CLI officiel d'OVHcloud piégé sur GitHub par un voleur de secrets

Un attaquant a remplacé les binaires de plusieurs versions du client en ligne de commande (CLI) officiel d'OVHcloud distribuées sur GitHub par un binaire conçu pour voler les secrets stockés sur la machine. Si vous avez téléchargé ou mis à jour le CLI lundi 19 octobre, traitez la machine comme compromise et renouvelez vos secrets. La version saine est la v0.16.0.

Le PDG d'OVHcloud, Octave Klaba, a confirmé l'incident sur X, et le dépôt officiel ovh/ovhcloud-cli liste bien la v0.16.0 comme dernière version. Les détails proviennent de Next et d'IT-Connect.

Ce qui s'est passé

Le code source du dépôt n'a pas été modifié. L'attaquant a utilisé le compte GitHub d'un développeur d'OVHcloud pour remplacer les binaires attachés à des releases existantes, directement sur GitHub, sans passer par le pipeline CI/CD où s'exécutent les contrôles de l'entreprise. Selon Klaba, la cause est une option désactivée : l'immutabilité des releases n'était pas activée, ce qui autorisait la modification d'une release déjà publiée.

Le binaire piégé extrait les secrets présents sur le disque — mots de passe et identifiants. Le signalement initial vient d'un utilisateur qui a remarqué une erreur de vérification d'empreinte sur l'archive Linux ARM, via un ticket GitHub.

Versions touchées

• Compromises : v0.11.0, v0.12.0, v0.13.0, v0.14.0 et v0.15.0.
• Saines : v0.10.0 (antérieure) et v0.16.0, publiée lundi soir avec l'immutabilité activée.

La diffusion a duré moins de deux heures, de 14h47 à 16h21 (heure de Paris), d'après Klaba. Sont concernés les téléchargements effectués dans cette fenêtre via install.sh, Homebrew (brew) ou l'archive GitHub, sur plusieurs plateformes.

Que faire

1. Si vous avez exécuté un binaire téléchargé pendant la fenêtre d'exposition, révoquez et renouvelez tous les secrets de la machine : identifiants OVHcloud (dont les clés API), clés SSH, identifiants liés à vos hébergements, variables d'environnement.
2. Supprimez le binaire et réinstallez la v0.16.0 depuis le dépôt officiel.
3. Vérifiez les empreintes des binaires avant exécution ; épinglez les sommes de contrôle dans vos scripts d'installation.
4. Inspectez les connexions sortantes et l'activité des identifiants OVHcloud sur la période.

Attribution

Aucun groupe n'a été confirmé. Un rapport (opensourcemalware.com, relayé par IT-Connect) rapproche l'incident du groupe « Glassworm », sans confirmation à ce stade. Le binaire malveillant a été retiré avant d'avoir pu être archivé publiquement, et rien ne prouve pour l'instant que des identifiants aient effectivement été exfiltrés.

Contexte

Le schéma n'est pas celui d'une faille dans le code, mais d'un détournement du canal de distribution : un compte de développeur légitime, des releases GitHub modifiables, et une confiance placée dans l'empreinte plutôt que dans un pipeline vérifié. L'immutabilité des releases GitHub, désormais activée côté OVHcloud, ne protège que la v0.16.0 et les suivantes — pas les versions déjà piégées. Pour les outils d'infrastructure manipulant des clés API, le binaire téléchargé mérite le même niveau de défiance qu'un paquet tiers.