0 
0 Uma vulnerabilidade nos bancos de dados IBM Cloud para PostgreSQL poderia ter permitido que invasores lançassem um ataque à cadeia de suprimentos em clientes em nuvem, violando os serviços internos do IBM Cloud e interrompendo o processo interno de criação de imagem do sistema hospedado.
Pesquisadores de segurança da Wiz descobriram a falha, que eles apelidaram de “Chaveiro do Inferno”. Ele incluía uma cadeia de três segredos expostos emparelhados com acesso de rede excessivamente permissivo a servidores internos de construção, revelaram os pesquisadores em uma postagem de blog publicada em 1º de dezembro.
Embora agora corrigida, a vulnerabilidade é significativa, pois representa um raro vetor de ataque à cadeia de suprimentos que afeta a infraestrutura de um provedor de serviços em nuvem (CSP), disse Wiz CTO Ami Luttwak à Dark Reading. A descoberta também revela uma classe de vulnerabilidades do PostgreSQL que afeta a maioria dos fornecedores de nuvem, incluindo Microsoft Azure e Google Cloud Platform.
“Este é o primeiro vetor de ataque da cadeia de suprimentos, mostrando como os invasores podem aproveitar erros no processo de construção para assumir o controle de todo o ambiente de nuvem”, diz ele.
Especificamente, os pesquisadores descobriram “grande risco causado pela limpeza imprópria de segredos de construção de imagens de contêineres, permitindo que um invasor obtenha acesso de gravação ao repositório central de imagens de contêineres”, diz Luttwak. Isso permitiria que o ator executasse códigos maliciosos nos ambientes dos clientes e modificasse os dados armazenados no banco de dados.
“As modificações no mecanismo PostgreSQL introduziram efetivamente novas vulnerabilidades no serviço”, escreveram os pesquisadores em seu post . “Essas vulnerabilidades podem ter sido exploradas por um agente mal-intencionado como parte de uma extensa cadeia de exploração que culminou em um ataque à cadeia de suprimentos na plataforma”.
Conforme mencionado, a capacidade de usar o PostgreSQL para violar o IBM Cloud não é exclusiva do provedor de serviços, disseram os pesquisadores. A Wiz já encontrou vulnerabilidades semelhantes em outros ambientes CSP, que planeja divulgar em breve e que destacam um problema mais amplo de configurações incorretas de nuvem que representam uma ameaça à cadeia de suprimentos para clientes corporativos.
A existência da falha também destaca como o gerenciamento inadequado de segredos – ou tokens de autenticação de longa duração para APIs em nuvem ou outros sistemas corporativos – pode impor um alto risco de invasão indesejada por invasores em uma organização que usa um provedor de nuvem, diz Luttwak.
“Encontrar e utilizar segredos expostos é o método nº 1 para movimentação lateral em ambientes de nuvem”, diz ele.
Por enquanto, os pesquisadores disseram que trabalharam com a IBM para solucionar o problema no IBM Cloud e nenhuma ação de mitigação do cliente é necessária.
Descobrindo a Corrente
Os pesquisadores estavam fazendo uma auditoria típica do PostgreSQL-as-a-service do IBM Cloud para descobrir se eles poderiam escalar privilégios para se tornar um “superusuário”, o que lhes permitiria executar código arbitrário na máquina virtual subjacente e continuar desafiando os limites de segurança interna de lá.
Com base em sua experiência, eles disseram que a capacidade de realizar um ataque à cadeia de suprimentos em um CSP reside em dois fatores principais: o link proibido e o chaveiro.
“O link proibido representa o acesso à rede – especificamente, é o link entre um ambiente de produção e seu ambiente de construção”, escreveram os pesquisadores. “O chaveiro, por outro lado, simboliza a coleção de um ou mais segredos dispersos que o invasor encontra em todo o ambiente de destino”.
Por si só, qualquer um dos cenários é “anti-higiênico”, mas não é criticamente perigoso. No entanto, “eles formam um composto fatal quando combinados”, disseram os pesquisadores.
O Hell’s Keychain continha três segredos específicos: um token de conta de serviço Kubernetes, uma senha privada de registro de contêiner e credenciais de servidor de integração e entrega contínuas (CI/CD).
A combinação dessa cadeia com o chamado link proibido entre a instância pessoal do PostgreSQL de Wiz e o ambiente de construção dos bancos de dados do IBM Cloud permitiu que os pesquisadores entrassem nos servidores de construção internos do IBM Cloud e manipulassem seus artefatos, disseram os pesquisadores.
Implicações para a segurança na nuvem
O cenário apresentado no Hell’s Keychain representa um problema mais amplo dentro da comunidade de segurança em nuvem que exige atenção e correção, disseram os pesquisadores. A saber: credenciais de texto simples espalhadas encontradas em ambientes de nuvem que impõem um grande risco a uma organização, prejudicando a integridade do serviço e o isolamento do inquilino, disseram eles.
Por esse motivo, a verificação secreta em todos os estágios do pipeline é crucial, inclusive em CI/CD, repositório de código, registros de contêiner e dentro da nuvem, diz Luttwak.
“Além disso, o bloqueio de credenciais privilegiadas para o registro de contêineres é crucial, pois essas credenciais são frequentemente ignoradas, mas na verdade são as chaves do reino”, acrescenta.
Os clientes CSP também devem considerar a verificação de assinatura de imagem por meio de controladores de admissão para garantir que esse tipo de ataque seja totalmente evitado, diz Luttwak.
O Hell’s Keychain também destaca uma configuração incorreta comum no uso da popular API do Kubernetes para gerenciamento de contêineres na nuvem – acesso ao pod, “que pode levar à exposição irrestrita do registro de contêineres”, diz ele.
Outra prática recomendada pelos pesquisadores é que qualquer organização – CSP ou não – que implemente um ambiente de nuvem pode impor controles de rede rígidos entre o ambiente voltado para a Internet e a rede interna da organização no ambiente de produção, para que os invasores não possam obter uma visão mais profunda ponto de apoio e manter a persistência se eles conseguirem rompê-lo.
FONTE: DARK READING