CircleCI セキュリティインシデントによる Datadog Agent への影響について

Docs > Agent > Agent のよくあるご質問 > CircleCI セキュリティインシデントによる Datadog Agent への影響について

ページ変更ログ

日付	説明
2023 年 1 月 13 日	初公開
2023 年 1 月 16 日	`rpm_check` スクリプト v1.1.0 の更新、わかりやすさのための編集
2023 年 1 月 17 日	`rpm_check` スクリプト v1.2.0 を更新し、より明確な特定と改善手順を追加しました
2023 年 2 月 3 日	どの Agent 5 のバージョンが影響を受けるキーで署名されているかを明確にしました

サマリー: RPM ベースの Linux ホスト (RHEL、CentOS、Rocky Linux、AlmaLinux、Amazon Linux、SUSE/SLES、Fedora) をチェックし、フィンガープリント 60A389A44A0C32BAE3C03F0B069B56F54172A230 付きのキーを信頼しているものを見つけて修正します。

2023 年 1 月 4 日、Datadog は CircleCI から、保存されているシークレットの漏洩につながる可能性のあるセキュリティインシデントを調査していると通知されました。Datadog は、潜在的な攻撃者が理論的に悪用する可能性のある CircleCI に保存された 1 つのシークレット、古い RPM GNU Privacy Guard (GPG) プライベート署名キーとそのパスフレーズを特定しました。このページでは、情報漏洩の可能性がある場合の影響、お客様のホスト上で取るべきアクション、Datadog がお客様に対するリスクを軽減するために取っている措置についての情報を提供します。

注: 2023 年 1 月 16 日現在、Datadog では実際にキーが流出したり悪用されたりした形跡はありませんが、慎重を期して以下のようなアクションをとり、助言しています。

影響を受けるキー

RPM の GPG 署名キーはフィンガープリント 60A389A44A0C32BAE3C03F0B069B56F54172A230 で、私たちの署名キーの場所からアクセス可能です。このキーは、歴史的に以下を署名するために使用されていました。

v5.32.8 まで (これを含む) の Agent 5 リリースと v6.13.0 まで (これを含む) の Agent 6 リリース (datadog-agent パッケージ)
スタンドアロン版 DogStatsD 6 リリースとスタンドアロン版 DogStatsD 7 リリース v7.23.1 (datadog-dogstatsd パッケージ) まで

注: Datadog の公式リポジトリは侵害されていません。署名キーが実際に流出した場合、Datadog からのものと見せかけた RPM パッケージを構築するために使用される可能性があります。しかし、そのようなパッケージを公式のパッケージリポジトリに配置するには十分ではないでしょう。効果的であるためには、影響を受けるキーを持つ仮想的な攻撃者は、構築された RPM パッケージをお客様のホストが使用するリポジトリにアップロードできる必要があります。

影響を受けるホストの発見

このインシデントは、RHEL、CentOS、Rocky Linux、AlmaLinux、Amazon Linux、SUSE/SLES、Fedora などの RPM ベースの Linux ディストリビューションを実行しているホストに影響を与える可能性があります。macOS、Windows、Debian、Ubuntu などの他の OS を実行しているホスト、および Container Agent は影響を受けません。

開始する前に、大規模なインフラストラクチャーがある場合は、キーを信頼するホストを 優先的に検索してください。パッケージは様々な方法でインストールされ、更新されるため、Datadog では、Datadog パッケージがインストールされている RPM ベースの Linux ホストをすべて確認することを推奨しています。どのホストを最初にチェックするかの優先順位を決めるために、以下のガイダンスを検討してください。以下のシナリオは、影響を受ける可能性が高いです。

Agent v5 または v6
スタンドアロン版 DogStatsD v6 または v7.23.2 以前

RPM ベースの Linux ホストでは、以下のシナリオは影響を受ける可能性は低いですが、それでもホストを確認する価値はあります。

Agent v7
スタンドアロン版 DogStatsD v7.23.2+。

以下のシナリオは影響を受けません。

Agent が、macOS、Windows、Debian、Ubuntu の Datadog パッケージでインストールされた場合。
ホストが Container Agent を使用している場合。

各ホストをチェックして、RPM データベースか Datadog リポジトリファイルのどちらか、または両方から影響を受けるキーを信頼しているかどうかを確認します。

以下のコマンドを実行して、RPM データベースを確認します。
```
$ rpm -q gpg-pubkey-4172a230-55dd14f6
```
コマンドの実行に成功し、gpg-pubkey-4172a230-55dd14f6 と出力された場合、ホストはキーを信頼し、アクションを要します。コマンドが失敗し、0 以外の終了コードで終了し、package gpg-pubkey-4172a230-55dd14f6 is not installed などのメッセージが出力された場合、ホストは RPM データベース内のキーを信頼していません。
Datadog のリポジトリファイルを確認します。ファイルのデフォルトの場所は以下の通りです。
- RHEL、CentOS、Rocky Linux、AlmaLinux、Amazon Linux、Fedora: /etc/yum.repos.d/datadog.repo
- OpenSUSE および SLES: /etc/zypp/repos.d/datadog.repo
以下の例のように、リポジトリファイルが gpgkey の項目に DATADOG_RPM_KEY.public と言及している場合、そのホストは影響を受けるキーを信頼し、アクションを要します。
- https://s3.amazonaws.com/public-signing-keys/DATADOG_RPM_KEY.public
- https://keys.datadoghq.com/DATADOG_RPM_KEY.public
- https://s3.amazonaws.com/yum.datadoghq.com/DATADOG_RPM_KEY.public
- https://yum.datadoghq.com/DATADOG_RPM_KEY.public

これらのうち、どちらか一方または両方がキーを信頼していると確認された場合、影響を受けるホストを保護するために以下のセクションに記載されているアクションを実行します。どちらもキーを信頼していないと確認された場合、それ以上のアクションは必要ありません。

影響を受けるホストの保護

ホストが影響を受けるキーの信頼を停止していることを確認します。前の手順でホストがキーを信頼していることが示された場合、次の手順を実行します。

Ansible Datadog ロールなどの構成自動化ツールやプラグインを使用している場合は、Datadog が行っていることに記載の最新バージョンにアップデートしてください。
これらの自動化ツールやプラグインの旧バージョンのままでは、せっかくの修復作業が逆効果になる可能性があります。まだ新しい固定バージョンにアップデートできない場合は、手動キー削除の手順 (ステップ 3 および 4) を自動化ツールのランブックに追加し、ランブックの順序で Datadog ツールおよびプラグインの後にこれらが実行されるようにしてください。
Datadog の公式インストールスクリプトを使用してセットアップされているホストでは、最新バージョンのインストールスクリプトを実行してキーの信頼性を解除し、更新されたリポジトリファイルをプロビジョニングしてください。
rpm -q gpg-pubkey-4172a230-55dd14f6 を実行してもキーが検出される場合は、次のコマンドを実行して RPM データベースからキーを削除し、信頼するのをやめてください。
```
$ sudo rpm --erase gpg-pubkey-4172a230-55dd14f6
```
DATADOG_RPM_KEY.public がまだリポジトリに残っている場合は、DATADOG_RPM_KEY.public で終わる gpgkey 行を削除してキーを削除してください。もし、リポジトリファイルの gpgkey のエントリーがこれだけであれば、https://keys.datadoghq.com/DATADOG_RPM_KEY_CURRENT.public に置き換えてください。詳しくは、影響を受けるキーを信頼しなくなることの意味のセクションをご覧ください。
用心のため、このスクリプトを実行して、影響を受けるホスト上で影響を受けるキーによって署名されたパッケージを Datadog がビルドしたことを確認します。
```
$ curl -o /tmp/rpm_check.sh https://docs.datadoghq.com/resources/sh/rpm_check.sh && chmod +x /tmp/rpm_check.sh
$ /tmp/rpm_check.sh
```
このスクリプトは、影響を受けるキーによって署名されたインストールされた Datadog パッケージが Datadog によってビルドされたことを確認し、Datadog によってビルドされていない、影響を受けるキーによって署名されたパッケージを検索します。
出力に [ ERROR ] で始まる行が含まれる場合、スクリプトの完全な出力と共に、これらを Datadog サポートに報告してください。

影響を受けるキーが信頼されなくなることの意味

該当するホストが Agent 7 を使用している場合、影響はありません。Agent 7 のパッケージは、影響を受けるキーで署名されていません。

ホストは以下をインストールできなくなりました。

v6.14.0 より前の Agent。少なくとも v6.14.0 または Agent v7 にアップグレードしてください。
スタンドアロン版 DogStatsD v6 またはスタンドアロン版 DogStatsD v7.24.0 より前のバージョン (datadog-dogstatsd パッケージ)。スタンドアロン版 DogStatsD 7.24.0+ にアップグレードしてください。
v5.32.8 より前の Agent。Agent v5.32.9+ をインストールするか、v6.14.0+ または Agent v7 にアップグレードしてください。

Datadog が行っていること

現在の RPM 署名キー、C6559B690CA882F023BDF3F63F4D1729FD4BF915 で署名された CentOS/RHEL 用の **新しい Agent 5 RPM **、5.32.9-1 をリリースしました。この RPM は、Agent 5 RPM リポジトリから入手できます。

私たちは、RPM データベースと Datadog リポジトリファイルから影響を受けるキーを明示的に削除することにより、ホストを安全にするための新しいバージョンの Agent のインストールをリリースしました。

Datadog Ansible ロールリリース 4.18.0
Datadog Chef レシピリリース 4.16.0
Datadog Puppet モジュールリリース 3.20.0
Datadog SaltStack 式リリース 3.5
Datadog Agent 6/7 Linux インストールスクリプト、2023 年 1 月 12 日 13 時 (UTC) にバージョン 1.13.0 を以下の場所にリリースしました。
- https://s3.amazonaws.com/dd-agent/scripts/install_script_agent6.sh
- https://s3.amazonaws.com/dd-agent/scripts/install_script_agent7.sh
- https://s3.amazonaws.com/dd-agent/scripts/install_script.sh (非推奨となりましたが、更新しました。)
Datadog Agent 5 Linux インストールスクリプトが 2023 年 1 月 12 日 16:25 UTC にそのダウンロード場所にリリースされました