Une attaque liée à la Corée du Nord a compromis une bibliothèque de développeurs largement utilisée, exposant des certificats utilisés pour signer les applications macOS d'OpenAI.
Bloomberg / Getty Images
OpenAI exige à tous les utilisateurs de macOS de mettre à jour leurs applications OpenAI après qu'une attaque sur la chaîne d'approvisionnement a compromis une bibliothèque de développeurs tiers et exposé des certificats utilisés pour vérifier l'authenticité des applications de l'entreprise.
Au centre de la violation se trouvait Axios, une bibliothèque JavaScript largement adoptée par les développeurs. Selon Forbes, des paquets altérés ont été téléchargés sur le registre npm le 31 mars, transportant des logiciels malveillants de type cheval de Troie à accès à distance. La fenêtre d'exposition a duré environ trois heures avant que les paquets ne soient retirés. Une campagne de social engineering ciblée a donné à l'attaquant un point d'appui sur la machine du principal mainteneur ; de là, les informations d'identification du compte npm ont été volées et utilisées pour pousser les paquets empoisonnés. L'attaque est supposée être liée à la Corée du Nord.
L'un de ces paquets empoisonnés a été téléchargé et exécuté par un workflow GitHub Actions opérant au sein de l'infrastructure d'OpenAI, a indiqué la société. Les certificats et le matériel de notarisation liés à plusieurs produits macOS — ChatGPT Desktop, Codex, Codex-cli et Atlas — étaient accessibles à ce même workflow.
Sur la base d'un examen interne qui a pesé le moment de l'intrusion aux côtés d'autres preuves, OpenAI a évalué que le certificat de signature n'a probablement jamais été volé avec succès. OpenAI a en outre déclaré que rien dans son enquête ne pointait vers un accès non autorisé aux données des utilisateurs, une altération de son logiciel ou un vol de systèmes ou de propriété intellectuelle. Les mots de passe des utilisateurs et les clés API sont restés sécurisés tout au long. OpenAI a tracé le problème sous-jacent à une mauvaise configuration au sein du workflow GitHub Actions affecté et a déclaré que le problème a été corrigé.
À titre de précaution, OpenAI a retiré et réémis les certificats sur lesquels ses applications macOS reposent pour prouver leur authenticité. Cette étape nécessite que tous les utilisateurs mettent à jour les dernières versions de ces applications. Les utilisateurs qui ne mettent pas à jour font face à une date limite stricte : à partir du 8 mai, les versions non corrigées seront privées de support et pourraient cesser de fonctionner.
La rotation des certificats concerne moins une menace active que la fermeture même de la possibilité la plus éloignée que quelqu'un puisse exploiter d'anciens matériels de signature pour faire passer une application contrefaite pour un produit OpenAI authentique.
Rejoignez plus de 500 000 lecteurs qui commencent leur journée avec Quartz.
En vous abonnant, vous acceptez nos Conditions d'utilisation et notre Politique de confidentialité.
