OVHcloud : la CLI a été compromise

Introduction
OVHcloud a découvert qu’une de ses versions de la CLI était compromise par un hacker et a rapidement réagi pour sécuriser le produit.

Points clés
- La version de la CLI publiée à 14 h 47 (v0.11.0 à v0.15.0) a été infiltrée ; les versions v0.10.0 et la future 0.16.0 restent saines. Le code malveillant, ajouté via le compte GitHub d’un développeur, récupère les secrets stockés sur le disque.
- OVHcloud a détecté l’incident à 16 h 21, bloqué la version compromise, activé l’immuabilité des releases sur GitHub et confirmé que les pipelines CI/CD, les tests et la détection de CVE n’ont pas été affectés.
- Les utilisateurs ayant téléchargé la CLI le 19 octobre doivent la mettre à jour immédiatement et changer tous les secrets présents sur leurs machines.