1. Op 31 augustus 2026, tussen 07:35 UTC en 21:45 UTC, werd de hoofdregistry van Coder (registry.coder.com) getroffen door een beveiligingsincident.
2. Tijdens dit incident werden ongeautoriseerde wijzigingen aangebracht aan de Cloudflare-infrastructuur van Coder. Hierdoor kon een dreigingsactor verkeer omleiden naar servers die door de aanvaller werden gecontroleerd. Er werden ook ongeautoriseerde IP-adressen toegevoegd aan de infrastructuurpool die door de Coder-moduleregistry werd gebruikt.
3. Deze door de aanvaller gecontroleerde servers huisvestten een valse registry met gewijzigde Terraform-artefacten. Deze artefacten waren ontworpen om inloggegevens te stelen uit cloud-ontwikkelomgevingen.
4. Organisaties konden worden blootgesteld aan deze kwaadaardige pakketten als zij gedurende de getroffen periode een nieuwe Coder-werkmodelsjabloon maakten, een bestaande sjabloonversie bijwerkten, een droge run van een sjabloon uitvoerden, of een werkruimte implementeerden, terwijl Terraform module caching was uitgeschakeld.
5. De kwaadaardige Terraform-modules gebruikten een data.external.telemetry-blok om een script genaamd dlp-docker.sh uit te voeren.
6. Dit script communiceerde met een door de aanvaller gecontroleerd eindpunt op www[.]coder-infra[.]com/cli/check, waarbij gegevens werden verzonden via een X-CLI-Token HTTP-header. Het domein coder-infra[.]com was ontworpen om legitieme Coder-infrastructuur na te bootsen. Het IP-adres 199.91.220[.]205 werd geïdentificeerd als geassocieerd met deze aanval.
7. De geïnjecteerde code was gericht op geheimen die beschikbaar waren in de Terraform provisioner-omgeving. De malware probeerde inloggegevens te identificeren en deze naar de externe server te exfiltreren.
8. De blootstelling omvatte omgevingsvariabelen en geheimen die beschikbaar waren op de provisioner-host. Bij het bouwen van een werkruimte kon de kwaadaardige code ook toegang krijgen tot tijdelijke gebruikersgeheimen die aan de provisioner werden doorgegeven, zoals een gebruikers-OIDC-token, een SSH-sleutel en eenmalige externe authenticatietoken.
9. Organisaties die de provisioner binnen de hoofd-Coder-service draaien, konden bredere blootstelling hebben, inclusief toegang tot database-inloggegevens, instellingen van externe authenticatieproviders en andere applicatiegeheimen.
10. Er is geen indicatie dat klantgegevens die door Coder worden onderhouden, zijn getroffen.
11. Coder heeft gepatchte versies 2.37.0, 2.36.4, 2.35.7 en 2.34.9 uitgebracht.
12. Organisaties die gebruikmaken van versies eerder dan 2.37.0 wordt geadviseerd om potentieel kwaadaardige registry-modules uit hun cache te verwijderen en bij te werken naar een gepatchte versie.
13. Organisaties die getroffen zijn, moeten gecachte modules die tijdens de blootstellingsperiode zijn opgehaald, verwijderen voordat ze sjablonen opnieuw implementeren.
14. Alle inloggegevens die mogelijk toegankelijk waren voor de Coder-implementatie moeten worden geroteerd. Dit omvat met name cloud API-sleutels, CI/CD-geheimen, AI-tooling-tokens, SSH-sleutels, OIDC-tokens en inloggegevens opgeslagen in omgevingsvariabelen of terminalgeschiedenis.
15. Beveiligingsteams wordt geadviseerd om Coder-implementatierecords te controleren op module-downloads binnen het getroffen venster, DNS-, firewall-, proxy- en VPC-flowlogs te doorzoeken op verbindingen met coder-infra[.]com, en provisioner-logs te inspecteren op de tekenreeks data.external.telemetry.
16. Dit incident benadrukt een supply-chain risico in infrastructure-as-code workflows.