前情回顾·全球公有云漏洞频发
注:本文报道的漏洞已得到修复或缓解。
安全内参4月21日消息,阿里云数据库ApsaraDB RDS for PostgreSQL 和 AnalyticDB for PostgreSQL曝出一组两个严重漏洞,可用于突破租户隔离保护机制,访问其他客户的敏感数据。
美国云安全公司Wiz发布报告称,“这些漏洞可能允许对阿里云客户的PostgreSQL数据库进行未经授权访问,并对阿里巴巴的这两项数据库服务开展供应链攻击,从而实现对阿里巴巴数据库服务的远程命令执行(RCE)攻击。”
这组漏洞被命名为BrokenSesame,在2022年12月被上报给阿里巴巴,阿里云于2023年4月12日部署了缓解措施。尚无证据表明这些漏洞曾遭到野外利用。
简而言之,此次发现的漏洞分别为AnalyticDB权限提升漏洞和ApsaraDB RDS远程代码执行漏洞,能够在容器内将权限提升为root,逃逸至底层Kubernetes节点,最终实现对API服务器的未授权访问。
利用这条利用链,恶意黑客能够从API服务器中检索到与容器注册表相关的凭证,推送恶意镜像以控制共享节点上属于其他租户的客户数据库。
Wiz公司研究员Ronen SHustin与Shir Tamari表示,“用于拉取镜像的凭证未被正确限定范围且允许推送权限,这为供应链攻击埋下了隐患。”
这已经不是第一次在云服务中发现PostgreSQL漏洞。去年,Wiz公司曾在微软Azure Database for PostgreSQL Flexible Server和IBM Cloud Databases for PostgreSQL中发现过类似的问题。
Palo Alto Networks安全研究团队Unit 42在云威胁报告中表示,“恶意黑客越来越善于利用云上的常见安全问题”,包括错误配置、凭证强度过低、缺乏身份验证、未修复漏洞和恶意开源软件包等。
“76%的组织未能对控制台用户实施多因素身份验证(MFA),58%的组织未能对具有root/admin权限的用户实施多因素身份验证。”
参考资料:https://thehackernews.com/2023/04/two-critical-flaws-found-in-alibaba.html
声明:本文来自安全内参,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。