Fampidirana
Vao haingana ny Orca Security no nahita lesoka amin'ny famolavolana ao amin'ny serivisy Google Cloud Build, antsoina hoe "Bad.Build." Miteraka risika lehibe amin'ny fiarovana ity lesoka ity satria ahafahan'ny mpanafika mampihatra Privilege Escalation, ka mamela azy ireo hiditra tsy nahazoana alalana ao amin'ny tahiry kaody an'ny Google Artifact Registry.
Miitatra hatrany amin'ny rojo famatsiana rindrambaiko ny voka-dratsin'ity fahalemena ity, satria mety hanararaotra izany ny mpanafika mba hanodinkodinana ny sarin'ny fampiharana amin'ny fikasana ratsy. Vokatr'izany, ireo mpampiasa tsy mailo sy mpanjifa izay mametraka ireo fampiharana nosimbaina dia mety ho voan'ny aretina.
Mampahatsiahy antsika ny fiantraikany lehibe hita tamin'ny fanafihana tamin'ny rojo famatsiana taloha toy ny SolarWinds ity toe-javatra ity, 3CX, ary MOVEit, manantitrantitra ny fiantraikany midadasika ateraky ny lesoka ara-piarovana toy izany.
Ahoana ny fomba fiasa eo?
Google Cloud Build mijoro ho toy ny fampidirana mitohy/fanaterana mitohy (CI/CD) tolotra atolotra ao anatin'ny tontolo iainana Google Cloud. Mitana anjara toerana lehibe amin'ny fampiharana miorina amin'ny rahona izy io amin'ny alàlan'ny fifandraisana tsy misy tomika amin'ireo serivisy ilaina hafa toy ny Artifact Registry sy ny App Engine.
Ny lesoka atrehina dia vokatry ny olana amin'ny tombontsoa tafahoatra. Indrindra indrindra, ny "logging.privateLogEntries.list"Ny fihetsika tsy nahy dia mamela ny lisitry ny log fanaraha-maso ho amin'ny andraikitra tsy nahy, izany hoe"andraikitra/cloudbuild.builds.builder. "
Mampalahelo fa ity andraikitra mahazatra ity dia nomena ny kaonty serivisy fananganana rahona. Miteraka risika lehibe ity toe-javatra ity satria ny log fanaraha-maso dia misy fampahalalana saro-pady, izay mampiseho ny fahazoan-dàlana rehetra mifandraika amin'ny tetikasa. Ity fidirana tsy nahy ity dia manome fahafahana ny mpanafika hisandoka ho toy ny kaonty fananganana rahona, ka hahazo fahalalana momba ny hetsika azo ataon'ny kaonty Google samihafa. Vokatr'izany, manokatra varavarana ho amin'ny fihetsehana mitongilana sy ny fitomboan'ny tombontsoa izany, izay maneho fahalemena fiarovana tena mampidi-doza.
Ny fisandohana ny kaonty build service dia mitaky ny cloudbuild.builds.create fahazoan-dàlana, izay ananan'ny andraikitra maro voafaritra mialoha, ary omena ny mpamorona amin'ny fomba rehetra azo ekena CI/CD tontolo iainana mampiasa Cloud Build. Koa raha afaka miditra amin'ny kaontin'ny mpamorona iray ianao, ny famoronana rakitra fikirakirana fananganana namboarina manokana dia tena hampandeha ny baiko famakiana ny gcloud logging, izay hampiseho ireo fahazoan-dàlana.
Saingy tsy mijanona eto ny olana: ny Tena manana tombony manokana ny kaonty serivisy Google Cloud Build, miaraka amin'ny hetsika maro hifandraisana amin'ny Rejistra Artifact an'ny Goggle.
Manararaotra ny fahalemena izay ahafahana maka tahaka ny kaonty serivisy Cloud Build mahazatra, ireo mpisoloky dia mahazo ny fahafahana manova ireo sary voatahiry ao amin'ny Artifact Registry an'ny Google amin'ny alàlan'ny fampidirana kaody maloto. Vokatr'izany, ny fampiharana rehetra natsangana avy amin'ireo sary voajirika ireo dia mety hiharan'ny voka-dratsy mety hitranga, anisan'izany ny fanafihana Denial-of-Service (DoS), ny halatra angona, ary ny fiparitahan'ny malware.
Miharatsy ny toe-draharaha rehefa natao hampiasaina amin'ny tontolo iainan'ny mpanjifa ireo fampiharana voahodinkodina ireo, na on-premise na semi-SaaS. Izany dia manitatra ny risika mihoatra ny fotodrafitrasan'ny fikambanana mpamatsy, ka mitarika fanafihana amin'ny rojo famatsiana izay miditra an-tsokosoko sy manimba ny tontolo iainan'ny mpanjifa. Mitovy amin'ny tranga teo aloha hita tamin'ny fanitsakitsahana ny rojo famatsiana rindrambaiko ny fanafihana toy izany, toy ny fanitsakitsahana ny SolarWinds. Mety ho mafy ny fiantraikan'ny fanafihana toy izany, miteraka fahavoazana miely patrana ary misy fiantraikany amin'ny fikambanana maro ao anatin'ny rojo famatsiana.
Nisy fiakaran'ny tombontsoa mitovy amin'izany nataon'ny Laboratoara Fiarovana Rhino, izay nanararaotra tamin'ny fomba hafa ny tombontsoa tafahoatra an'ny kaonty Cloud Build mahazatra.
Nahoana no mampidi-doza?
Ny hamafin'ity fahalemena ity dia ny mety hampiasan'ireo mpanafika ny Artifact Registry sy hampiditra kaody ratsy ao anaty rakitra. Vokatr'izany, ny fampiharana rehetra natsangana avy amin'ireo sary voajirika ireo dia mora iharan'ny voka-dratsy isan-karazany.
Anisan'izany fiantraikany izany ny mety hisian'ny fanafihana Denial-of-Service, ny halatra angona, ary ny fiparitahan'ny malware. Ankoatra izany, raha toa ka apetraka any aoriana ireo fampiharana voajirika ireo on-premise na ao anatin'ny tontolo semi-SaaS, dia miitatra mihoatra ny fikambanana niharam-boina ny risika ka misy fiantraikany amin'ny mpanjifany ihany koa. Mitovy amin'ny fanafihana amin'ny rojo famatsiana hita tamin'ny tranga SolarWinds ity toe-javatra ity, izay manasongadina ny mety ho vokany ho an'ny fikambanana sy ny mpanjifany.
Soso-kevitra Xygeni
Ampiharo ny fitsipiky ny tombontsoa kely indrindra
- Sensor Xygeni manara-maso ny fihetsiky ny mpampiasa ao amin'ireo rafitra izay ametrahana azy ary mizara izany amin'ny sehatra fototra, izay mamantatra ny fihetsika tsy mahazatra na ny fivilian-dalana amin'ny lamina mahazatra, toy ny tsy mahazatra login fotoana na toerana, famindrana angon-drakitra lehibe, na fiovana eo amin'ny zon'ny mpampiasa miditra izay ivelan'ny fetran'ny fitondran-tenan'ny mpampiasa 'ara-dalàna' aseho modely.
Ny politika sy ny fanaraha-maso an'ny Xygeni dia mampihatra ny fomba fanao tsara indrindra amin'ny fanaraha-maso ny fidirana, ny fepetra takiana amin'ny fanamarinana misy anton-javatra maro, ary ny fampiharana fahazoan-dàlana mifototra amin'ny andraikitra mba hamerana ny fidiran'ny mpampiasa amin'ny rafitra sy angon-drakitra manan-danja.
Ireo fitaovana ireo dia manara-maso ny fihetsiky ny mpampiasa, toy ny fanovana kaody, fidirana amin'ny rafitra, na famindrana angona, ary mampitaha izany amin'ny politika sy lamina fitondran-tena efa voafaritra mialoha. Manamarika hetsika mampiahiahy ihany koa izy ireo, toy ny fidirana tsy nahazoana alalana, tombontsoa tafahoatra, na lamina famindrana angona tsy mahazatra..
Ahoana no nitantanana ny fahalemena
Rehefa nampandre ny Ekipa Fiarovana Google momba ny fahalemena izy ireo dia nandray fepetra tamin'ny fanesorana ny fahazoan-dàlana logging.privateLogEntries.list avy amin'ny kaonty serivisy Cloud Build mahazatra. Niaiky izy ireo fa na dia ilaina amin'ny tanjona fanaraha-maso aza ny log fanaraha-maso setIamPolicy, dia tsy ilaina ny manome fidirana amin'ireo log ireo avy amin'ny fomba fijerin'ny kaonty serivisy cloud build.
Na izany aza, zava-dehibe ny mahatakatra fa ity valiny ity dia tsy niresaka mivantana ny fahalemena fototra ao amin'ny Artifact Registry. Vokatr'izany, ny vector escalation privilege sy ny mety ho loza ateraky ny fanafihana amin'ny rojo famatsiana dia tsy voakasik'izany. Amin'ny ankapobeny, ny fanamboarana nataon'i Google dia nametra ny olana saingy tsy nanafoana izany tanteraka, ka namela ireo fikambanana mbola niharan'ny loza lehibe amin'ny rojo famatsiana rindrambaiko.
Ho setrin'izany toe-javatra izany, nanoro hevitra ny mpanjifany ny Google mba hanova ny fahazoan-dàlana amin'ny kaonty Cloud Build Service mahazatra amin'ny fanesorana izay fahazoan-dàlana rehetra izay tsy mifanaraka amin'ny Fitsipika momba ny Tombontsoa Kely Indrindra (PoLP). Ity fepetra ity dia mikendry ny hanatsara ny fiarovana amin'ny alàlan'ny fiantohana fa ny kaonty dia manana ny tombontsoa farany ambany ilaina ihany mba hanatanterahana ny asany.
Mba hiarovana amin'ity fanafihana fampitomboana tombontsoa ity dia ilaina ny mametra ny fahazoan-dàlana omena ny Cloud Build Service Account ary mitandrina amin'ny fanomezana ny cloudbuild.builds.create fahazoan-dàlana ho an'ny mpampiasa rehetra ao amin'ny fikambanananao. Ny tena zava-dehibe dia mila fantatrao fa izay mpampiasa rehetra omena alalana cloudbuild.builds.create, dia omena ankolaka ihany koa ny fahazoan-dàlana rehetra nomena ny kaonty Cloud Build Service. Raha mety aminao izany, dia mety tsy mila manahy momba ity fanafihana ity ianao, fa mbola amporisihina mafy ny hanovana ireo fahazoan-dàlana mahazatra nomena ny kaonty Cloud Build Service.
Google manoro hevitra izany amin'ny fomba fohy, saingy tsy manome antsipiriany fanampiny:
"Raha tsy mikasa ny hanao hetsika iray ao anatin'ny dingana fananganana ianao dia manoro hevitra anao izahay mba hanafoana ny fahazoan-dàlana mifandraika amin'izany avy amin'ny kaonty serivisy Cloud Build mba hanarahana ny fitsipiky ny fiarovana amin'ny tombontsoa kely indrindra."
Timeline
Namoaka lahatsoratra momba ny olana momba ny fiakaran'ny tombontsoa ny Rhino Security Labs ary namorona script python PoC * ho azy.
Nitatitra ny zavatra hitany tamin'ny Ekipa Fiarovana Google ny Orca Security.
Nanao fanadihadiana i Google ary nametraka fanamboarana ampahany ho setrin'izany.
Na izany aza, zava-dehibe ny manamarika fa ny vahaolana avy amin'ny Google dia tsy nanafoana tanteraka ny voka-dratsin'ny Privilege Escalation (PE) hita. Fa kosa, nametra ny fiantraikany izy io, ka nanova azy io ho lesoka amin'ny famolavolana izay mbola mampiharihary ny fikambanana amin'ny risika mivelatra kokoa amin'ny fanafihana amin'ny rojo famatsiana. Vokatr'izany, ilaina ny fepetra fanampiny ho an'ny ekipa fiarovana mba hiarovana amin'ity risika maharitra ity.
Famaranana
Mety hararaotin'ny fahavalo ny tombontsoa tafahoatra nomena ny kaonty Google Cloud Build mahazatra mba hanaovana fanafihana amin'ny alàlan'ny kaonty mpamorona rindrambaiko ahafahana mamorona "cloud build". Mety haka sary avy amin'ny "container image" ireo mpanafika, hanova izany amin'ny fitondran-tena ratsy, ary avy eo hamindra izany any amin'ny Artifact Registry, amin'ny fanafihana amin'ny rojo famatsiana rindrambaiko izay mety hiteraka voka-dratsy.
Ny valintenin'i Google dia mamela ny asa fampihenana ny risika ho an'ireo fikambanana mampiasa ny serivisy Cloud Build, izay mila manafoana ny tombontsoa hifehezana ny risika. Azo atao ny mangataka amin'ny Google mba hanome fanampiana fanampiny amin'ny ho avy amin'ny fiatrehana ny olana ara-piarovana amin'ny orinasany. CI/CD rafitra.
References
- Miasa araka ny nikasana azy: Fitomboan'ny tombontsoa RCE mankany IAM ao amin'ny GCP Cloud BuildLaboratoara Fiarovana Rhino.
- Bad.Build: Fahalemena PE & RCE ao amin'ny Google Cloud BuildFiarovana Orca.
- Bulletin fiarovana.Google Cloud.
Fantaro bebe kokoa momba ny sehatra Xygeni, ampidino ny takelaka angon-drakitra momba ny sehatra Xygeni
