Piégé sur GitHub, l'outil en ligne de commande d'OVHcloud cherchait à voler vos secrets

Lundi 19 octobre, en milieu d'après-midi, la chaîne d'intégration continue d'un utilisateur de l'outil en ligne de commande d'OVHcloud tombe en erreur. Son script compare l'empreinte de l'archive Linux téléchargée à une valeur enregistrée à l'avance, et elle ne correspond plus. À 15 h 50 (heure de Paris), il ouvre un ticket sur GitHub. Les fichiers de versions publiées depuis des semaines viennent d'être remplacés.

L'alerte était fondée. Le soir même sur X, Octave Klaba, le président d'OVHcloud, confirme que la version de l'outil diffusée à 14 h 47 a été compromise par un pirate. L'hébergeur l'a bloquée à 16 h 21. Selon lui, les versions 0.11.0 à 0.15.0 de l'outil, baptisé ovhcloud-cli, sont touchées, tandis que la 0.10.0 et la nouvelle 0.16.0 sont saines. Le programme ajouté cherchait à récupérer les secrets stockés sur le disque de la machine. Octave Klaba le juge de qualité médiocre, mais capable de remplir sa tâche, d'après Next.

Comment les fichiers ont-ils pu être remplacés ?

Le pirate n'a pas publié de nouvelle version. Il a remplacé, dans des versions existantes, les archives pour Linux, macOS et Windows, ainsi que le fichier des empreintes de contrôle. Vérifier une archive avec ce fichier ne servait donc à rien. Seule une empreinte notée avant l'attaque pouvait révéler la substitution. L'auteur du ticket note aussi que le binaire suspect a été compilé localement à partir de modifications jamais publiées. Il ne sort donc pas de la chaîne de fabrication habituelle d'OVHcloud.

Selon Octave Klaba, l'attaquant est passé par le compte GitHub d'un développeur qui avait les droits d'écriture. Il explique que l'option qui empêche de modifier une version déjà publiée sur GitHub n'avait pas été activée. « L'option a été activée », ajoute-t-il, en précisant que les chaînes de fabrication n'ont pas été touchées et qu'aucun autre dépôt n'est affecté. Le site OpenSourceMalware relève que des dépôts personnels de ce développeur avaient déjà été modifiés en mars 2026 avec un code de chargement attribué au groupe GlassWorm. Ses auteurs reconnaissent toutefois ne pas pouvoir prouver qu'il s'agit du même attaquant.

Qui a pu installer la version piégée ?

D'après OpenSourceMalware et IT-Connect, sont concernés ceux qui ont installé ou mis à jour l'outil pendant ce créneau de 94 minutes de plusieurs façons :

• avec le script install.sh ou via Homebrew ;
• en téléchargeant directement l'archive sur GitHub ;
• par une chaîne d'intégration qui récupère ces archives.

L'installation par go install, la compilation depuis le code source et l'image Docker ne seraient pas touchées. OVHcloud n'a pas indiqué combien de téléchargements ont eu lieu. Le programme n'a pas été analysé publiquement, car les fichiers ont été supprimés avant d'être archivés.

Que faire ?

Comme lors de la mise à jour piégée de Rank Math PRO, la fenêtre a été courte, mais les secrets volés, eux, restent valables :

• Vérifiez si l'outil a été installé ou mis à jour le 19 octobre entre 14 h 47 et 16 h 21 (heure de Paris), sur un poste ou dans une chaîne d'intégration.
• Si c'est le cas, changez sans attendre vos identifiants d'API OVHcloud (fichier .ovh.conf ou variables d'environnement), vos clés SSH, vos jetons d'autres services cloud ou de registres de paquets, vos fichiers kubeconfig et .env.
• Passez à la version 0.16.0, publiée le soir même comme version non modifiable.
• Empreinte de l'archive piégée connue (v0.15.0, Linux arm64) : 3833daffcaaaab27e4e0e0833240ffcb1df8df648f4ec0bc4a75c176e28933cb.
• Dans vos chaînes d'intégration, figez l'empreinte des outils téléchargés : c'est ce qui a permis de détecter l'attaque.

OVHcloud a promis une analyse détaillée de l'incident dans les prochains jours. Elle devra dire comment les identifiants du développeur ont été volés.