Coderレジストリ侵害からの認証情報流出リスク｜ブログ(ほぼこもセキュリティニュース)

クラウド開発環境プラットフォームを提供する「Coder」は、公式モジュールレジストリ（registry.coder.com）のインフラストラクチャが不正アクセスを受け、悪意のある Terraform モジュールが一時的に配信されていたとするセキュリティアドバイザリを公表しました。

Coder は、企業や組織がオンプレミスまたは自社クラウド上にセキュアなセルフホスト型クラウド開発環境（CDE: Cloud Development Environments）を構築・運用するためのプラットフォームです。
開発者はブラウザや IDE から標準化された開発基盤へアクセスしてコード作成や AI アプリケーション開発を行うことができ、Dropbox や Palantir、米政府機関・防衛関連企業など、大規模かつ高度なセキュリティが求められる組織に広く導入されています。

今回のインシデントでは、攻撃者が Coder の利用する Cloudflare インフラの制御権を一部奪取し、攻撃者自身の所有するサーバ（不正な IP アドレス）をレジストリのオリジンプールに追加しました。
これにより、2026年8月31日 07:35 UTC から 21:45 UTC までの約14時間、特定のユーザのリクエストが攻撃者のサーバにルーティングされ、機密情報を窃取する悪意のあるモジュールが配布されました。

今回のインシデントの特徴的な部分をみてみましょう。

開発基盤インフラ（Cloudflare）の直接侵害
- 解説
  攻撃者はソースコードの直接改ざんや GitHub アカウントの奪取ではなく、配信基盤である Cloudflare 設定への不正アクセスを行いました。
- 仕組み
  レジストリ宛てトラフィックを処理する Cloudflare のロードバランシング／オリジンプールに不正な IP を追加したため、正規のドメイン・TLS証明書を経由しながらも、一定割合のリクエストが攻撃者のサーバ（不正オリジン）に転送され、偽の応答が配信される事態（配信経路の乗っ取り）が発生しました。
ソフトウェアサプライチェーン攻撃（IaC・Terraformモジュールの改ざん）
- 解説
  攻撃者が配信したのは、クラウド開発環境のテンプレートを構成するための Terraform モジュールです。
- 仕組み
  管理者や開発者がワークスペースおよびテンプレートのプロビジョニング（構築・更新）を行う際、改ざんされたモジュールが透過的にダウンロード・実行されました。
  ソースコードパッケージ（npm や PyPI）ではなく、インフラ構成コード（IaC）を標的とした高度なサプライチェーン攻撃です。
広範囲な認証情報（Infostealer）の窃取ターゲット
- 解説
  悪意のあるモジュールには、環境内から主要なシークレットを自動探索し外部へ送信するコードが含まれていました。
- 窃取対象
  - プロビジョナーの環境変数およびシークレット
  - クラウドインフラおよび AI ツールの API キー
  - CI/CD 認証情報、SSH 鍵、ユーザー OIDC トークン
  - Coder データベースのパスワード、ターミナル履歴など
- 送信先
  タイポスクワッティング（類似ドメイン）である coder-infra[.]com へ持ち出されていました。

この事件は、開発環境の自動化や IaC（Infrastructure as Code）を支えるインフラ管理プレーンのセキュリティ（クラウド設定管理・アクセス制御）が重要であることを示す典型的な事例です。
特に Coder のような開発環境共有基盤が標的となった場合、影響が組織全体に波及するリスクがあります。
なお、Coder 側の管理データ自体への影響は確認されていませんが、攻撃者サーバのログを同社で追跡できないため、利用組織側での自己点検が必須とされています。

推奨される対応策は次の内容です。

緊急のバージョンアップデート
Coder を利用中の組織は、修正済みバージョン（2.37.0, 2.36.4, 2.35.7, 2.34.9）へ直ちに更新してください。
シークレットの無効化・再発行
露出期間（8月31日 07:35〜21:45 UTC）にプロビジョニングを実行した環境では、AWS/GCP などの API キー、SSH 鍵、データベースパスワード等を速やかにローテーション（再発行）してください。
IOC（侵入痕跡）チェック
ネットワークログ（DNS/Proxy/Firewall/VPC Flow Logs）にて coder-infra[.]com への通信履歴がないか確認し、プロビジョナー（coderd）ログでの data.external.telemetry の検索、および不正なモジュールキャッシュの削除を行ってください。

Malicious Packages Served from Unauthorized Registry Server
https://github.com/coder/coder/security/advisories/GHSA-vx42-ghc9-gw65