နိဒါန္း
Orca Security သည် မကြာသေးမီက Google Cloud Build ဝန်ဆောင်မှုတွင် “Bad.Build” အမည်ရှိ ဒီဇိုင်းချို့ယွင်းချက်ကို ဖော်ထုတ်ခဲ့သည်။ ဤချို့ယွင်းချက်သည် တိုက်ခိုက်သူများအား Privilege Escalation ကို လုပ်ဆောင်စေပြီး Google ၏ Artifact Registry ၏ ကုဒ်သိုလှောင်ရုံများထဲသို့ ခွင့်ပြုချက်မရှိဘဲ ဝင်ရောက်ခွင့်ပြုသောကြောင့် ပြင်းထန်သော လုံခြုံရေးအန္တရာယ်ကို ဖြစ်စေသည်။
ဤအားနည်းချက်၏ အကျိုးဆက်များသည် ဆော့ဖ်ဝဲလ်ထောက်ပံ့ရေးကွင်းဆက်အထိ ကျယ်ပြန့်သွားပြီး တိုက်ခိုက်သူများသည် ၎င်းကို အသုံးချကာ အပလီကေးရှင်းပုံရိပ်များကို မကောင်းသောရည်ရွယ်ချက်ဖြင့် ခြယ်လှယ်နိုင်သောကြောင့်ဖြစ်သည်။ ထို့ကြောင့်၊ ခိုးဝှက်ထားသော အပလီကေးရှင်းများကို ထည့်သွင်းသော မသင်္ကာဖွယ်အသုံးပြုသူများနှင့် ဖောက်သည်များသည် ကူးစက်မှုများ၏ သားကောင်ဖြစ်နိုင်သည်။
ဒီအခြေအနေက SolarWinds လိုမျိုး အရင်က ထောက်ပံ့ရေးကွင်းဆက်တိုက်ခိုက်မှုတွေမှာ မြင်တွေ့ခဲ့ရတဲ့ သိသာထင်ရှားတဲ့ သက်ရောက်မှုကို သတိရစေပါတယ်။ 3CXနှင့် ရွှေ့ပါ။ထိုကဲ့သို့သော လုံခြုံရေး ပေါ့လျော့မှုများ၏ ကျယ်ပြန့်သော အကျိုးဆက်များကို အလေးပေးပြောကြားသည်။
ဘယ်လိုအလုပ်လုပ်လဲ?
Google Cloud တည်ဆောက်မှု စဉ်ဆက်မပြတ် ပေါင်းစည်းမှု/စဉ်ဆက်မပြတ် ပေးပို့မှုအဖြစ် ရပ်တည်သည် (CI/CD) Google Cloud ဂေဟစနစ်အတွင်း ပေးဆောင်သော ဝန်ဆောင်မှု။ Artifact Registry နှင့် App Engine ကဲ့သို့သော အခြားအရေးကြီးသော ဝန်ဆောင်မှုများနှင့် ချောမွေ့စွာ အပြန်အလှန် ဆက်သွယ်ခြင်းဖြင့် cloud-based application များတွင် အရေးပါသော အခန်းကဏ္ဍမှ ပါဝင်သည်။
လက်ရှိချို့ယွင်းချက်သည် အလွန်အကျွံအခွင့်အရေးများပါ၀င်သည့် ပြဿနာတစ်ခုကြောင့် ဖြစ်ပေါ်လာသည်။ အထူးသဖြင့် “logging.privateLogEntries.list" လုပ်ဆောင်ချက်သည် စာရင်းစစ်မှတ်တမ်းများကို မရည်ရွယ်ထားသော အခန်းကဏ္ဍတစ်ခုသို့ စာရင်းပြုစုခြင်းကို မတော်တဆ ခွင့်ပြုသည်၊ ဆိုလိုသည်မှာ "roles/cloudbuild.builds.builder။ "
ဝမ်းနည်းစရာကောင်းတာက ဒီ default role ကို cloud build service account ကို သတ်မှတ်ပေးထားပါတယ်။ audit log တွေမှာ အရေးကြီးတဲ့ အချက်အလက်တွေ ပါဝင်တာကြောင့် project နဲ့ ဆက်စပ်နေတဲ့ permission အားလုံးကို ဖော်ပြနေတဲ့အတွက် ဒီအခြေအနေက ကြီးမားတဲ့ အန္တရာယ်ကို ဖြစ်စေပါတယ်။ ဒီမရည်ရွယ်ဘဲ ဝင်ရောက်ခွင့်က attacker တွေကို cloud build account ရဲ့ အယောင်ဆောင်နိုင်စွမ်းကို ပေးစွမ်းပြီး မတူညီတဲ့ Google account တွေကနေ ဘယ်လို action တွေကို လုပ်ဆောင်နိုင်လဲဆိုတာကို သိရှိစေပါတယ်။ ဒါကြောင့် lateral movement နဲ့ privilege escalation တွေ ဖြစ်ပေါ်လာစေပြီး အလွန်အန္တရာယ်များတဲ့ security vulnerability တစ်ခုကို ဖြစ်ပေါ်စေပါတယ်။
တည်ဆောက်မှုဝန်ဆောင်မှုအကောင့်ကို အယောင်ဆောင်ခြင်းသည် အောက်ပါတို့သာ လိုအပ်သည် cloudbuild.builds.create ကြိုတင်သတ်မှတ်ထားသော အခန်းကဏ္ဍများစွာတွင်ရှိပြီး ဆော့ဖ်ဝဲရေးသားသူများထံ ကျိုးကြောင်းဆီလျော်သော ခွင့်ပြုချက်များ ပေးအပ်ထားသည်။ CI/CD Cloud Build ကို အသုံးပြု၍ ပတ်ဝန်းကျင်။ ထို့ကြောင့် သင်သည် ထိုကဲ့သို့သော developer ၏အကောင့်တစ်ခုကို ဝင်ရောက်ခွင့်ရှိပါက စိတ်ကြိုက်ပြင်ဆင်ထားသော build configuration ဖိုင်တစ်ခု ဖန်တီးခြင်းသည် အမှန်တကယ် လုပ်ဆောင်ပေးပါလိမ့်မည်။ gcloud logging ဖတ်ရန် commandခွင့်ပြုချက်များကို စာရင်းပြုစုပေးပါမည်။
ဒါပေမယ့် ပြဿနာက ဒီမှာတင် ရပ်မသွားဘူး- Google Cloud Build ဝန်ဆောင်မှုအကောင့်သည် အထူးအခွင့်အရေးရှိသည်Goggle ရဲ့ Artifact Registry နဲ့ အပြန်အလှန်ဆက်သွယ်ဖို့အတွက် လုပ်ဆောင်ချက်များစွာပါဝင်ပါတယ်။
မူရင်း Cloud Build ဝန်ဆောင်မှုအကောင့်၏ အယောင်ဆောင်ခြင်းကို ဖြစ်စေသည့် အားနည်းချက်ကို အသုံးချခြင်းဖြင့်၊ မကောင်းဆိုးဝါးများသည် Google ၏ Artifact Registry တွင် သိမ်းဆည်းထားသော ရုပ်ပုံများကို မကောင်းဆိုးဝါးကုဒ်များ ထိုးသွင်းခြင်းဖြင့် ပြုပြင်ပြောင်းလဲနိုင်စွမ်း ရရှိကြသည်။ ထို့ကြောင့်၊ ဤခိုးယူခံရသော ရုပ်ပုံများမှ တည်ဆောက်ထားသော မည်သည့်အပလီကေးရှင်းမဆို Denial-of-Service (DoS) တိုက်ခိုက်မှုများ၊ ဒေတာခိုးယူမှုနှင့် malware ပျံ့နှံ့မှု အပါအဝင် အလားအလာရှိသော အကျိုးဆက်များကို ခံရနိုင်ခြေရှိသည်။
ဤခြယ်လှယ်ထားသော အပလီကေးရှင်းများကို ဖောက်သည်များ၏ ပတ်ဝန်းကျင်တွင် ဖြန့်ကျက်ရန် ရည်ရွယ်သည့်အခါ အခြေအနေ၏ ပြင်းထန်မှု မြင့်တက်လာသည် on-premise သို့မဟုတ် semi-SaaS။ ၎င်းသည် ထောက်ပံ့ရေးအဖွဲ့အစည်း၏ အခြေခံအဆောက်အအုံထက်ကျော်လွန်၍ အန္တရာယ်ကို ချဲ့ထွင်ပေးပြီး ဖောက်သည်များ၏ပတ်ဝန်းကျင်ကို ထိုးဖောက်ဝင်ရောက်ပြီး ထိခိုက်စေသည့် ထောက်ပံ့ရေးကွင်းဆက်တိုက်ခိုက်မှုတစ်ခုဆီသို့ ဦးတည်စေသည်။ ထိုကဲ့သို့သောတိုက်ခိုက်မှုများသည် SolarWinds ချိုးဖောက်မှုကဲ့သို့သော ဆော့ဖ်ဝဲလ်ထောက်ပံ့ရေးကွင်းဆက်ချိုးဖောက်မှုများတွင် မြင်တွေ့ခဲ့ရသည့် ယခင်ဖြစ်ရပ်များနှင့် ဆင်တူသည်။ ထိုကဲ့သို့သောတိုက်ခိုက်မှု၏ အကျိုးဆက်များသည် ပြင်းထန်နိုင်ပြီး ကျယ်ပြန့်သောထိခိုက်မှုများဖြစ်စေပြီး ထောက်ပံ့ရေးကွင်းဆက်အတွင်းရှိ အဖွဲ့အစည်းများစွာကို ထိခိုက်စေနိုင်သည်။
အလားတူ အထူးအခွင့်အရေး မြှင့်တင်မှု PoC ရှိခဲ့သည် Rhino လုံခြုံရေးဓာတ်ခွဲခန်းများ၎င်းသည် မူရင်း Cloud Build အကောင့်၏ အလွန်အကျွံ အခွင့်အရေးများကို ကွဲပြားသောနည်းလမ်းဖြင့် အသုံးချခဲ့သည်။
အဘယ်ကြောင့် အန္တရာယ်ရှိသနည်း။
ဤအားနည်းချက်၏ ပြင်းထန်မှုမှာ တိုက်ခိုက်သူများသည် Artifact Registry ကို အသုံးချပြီး artifact များထဲသို့ အန္တရာယ်ရှိသော ကုဒ်များ ထည့်သွင်းနိုင်ခြေတွင် တည်ရှိသည်။ ရလဒ်အနေဖြင့်၊ ဤခိုးယူခံရသော ရုပ်ပုံများမှ တည်ဆောက်ထားသော မည်သည့်အပလီကေးရှင်းမဆို မတူညီသော ဆိုးကျိုးများကို ခံရလွယ်သည်။
ဤအကျိုးသက်ရောက်မှုများတွင် ဝန်ဆောင်မှုငြင်းပယ်ခံရခြင်း တိုက်ခိုက်မှုများ၊ ဒေတာခိုးယူမှုနှင့် malware ပျံ့နှံ့မှုတို့ ပါဝင်သည်။ ထို့အပြင်၊ ဤအန္တရာယ်ရှိသော အပလီကေးရှင်းများကို နောက်ပိုင်းတွင် ဖြန့်ကျက်ပါက on-premise သို့မဟုတ် semi-SaaS ပတ်ဝန်းကျင်တွင်၊ အန္တရာယ်သည် သားကောင်အဖွဲ့အစည်းထက်ကျော်လွန်၍ ၎င်းတို့၏ဖောက်သည်များကိုပါ ထိခိုက်စေပါသည်။ ဤအခြေအနေသည် SolarWinds ဖြစ်ရပ်တွင် မျက်မြင်တွေ့ရှိခဲ့ရသော ထောက်ပံ့ရေးကွင်းဆက်တိုက်ခိုက်မှုနှင့် ဆင်တူပြီး အဖွဲ့အစည်းနှင့် ၎င်း၏ဖောက်သည်အခြေခံ နှစ်ခုလုံးအတွက် ဖြစ်နိုင်ချေရှိသော အကျိုးဆက်များကို မီးမောင်းထိုးပြပါသည်။
Xygeni အကြံပြုချက်
အခွင့်အရေးအနည်းဆုံးရရှိရေးမူကို ကျင့်သုံးပါ။
- Xygeni အာရုံခံကိရိယာ ၎င်းကို ဖြန့်ကျက်ထားသည့် စနစ်များရှိ အသုံးပြုသူ လုပ်ဆောင်ချက်များကို စောင့်ကြည့်ပြီး ကျွန်ုပ်တို့၏ အဓိကပလက်ဖောင်းနှင့် မျှဝေပါ၊ ၎င်းသည် ပုံမှန်မဟုတ်သော အပြုအမူ သို့မဟုတ် ပုံမှန်မဟုတ်သော ပုံစံများမှ သွေဖည်မှုများကို ဖော်ထုတ်ပေးသည် login အချိန်များ သို့မဟုတ် နေရာများ၊ ဒေတာများစွာလွှဲပြောင်းခြင်း သို့မဟုတ် ပုံစံထုတ်ထားသော 'ပုံမှန်' အသုံးပြုသူအပြုအမူ၏ အတိုင်းအတာပြင်ပရှိ အသုံးပြုသူဝင်ရောက်ခွင့်ပြောင်းလဲမှုများ။
Xygeni ၏ မူဝါဒများနှင့် စာရင်းစစ်များသည် အရေးကြီးသော စနစ်များနှင့် ဒေတာများသို့ အသုံးပြုသူ ဝင်ရောက်ခွင့်ကို ကန့်သတ်ရန်အတွက် ဝင်ရောက်ခွင့်ထိန်းချုပ်မှုများ၊ multi-factor authentication လိုအပ်ချက်များနှင့် role-based permissions application များတွင် အကောင်းဆုံးလုပ်ဆောင်မှုများကို ပြဋ္ဌာန်းသည်။
ဤကိရိယာများသည် ကုဒ်ပြောင်းလဲမှုများ၊ စနစ်ဝင်ရောက်ခွင့် သို့မဟုတ် အချက်အလက်လွှဲပြောင်းခြင်းကဲ့သို့သော အသုံးပြုသူလုပ်ဆောင်ချက်များကို စောင့်ကြည့်ပြီး ကြိုတင်သတ်မှတ်ထားသော မူဝါဒများနှင့် အပြုအမူပုံစံများနှင့် နှိုင်းယှဉ်ပါသည်။ ၎င်းတို့သည် ခွင့်ပြုချက်မရှိဘဲ ဝင်ရောက်ခြင်း၊ အလွန်အကျွံ အခွင့်အရေးများ သို့မဟုတ် ပုံမှန်မဟုတ်သော ဒေတာလွှဲပြောင်းမှုပုံစံများကဲ့သို့သော သံသယဖြစ်ဖွယ် လုပ်ဆောင်ချက်များကိုလည်း အလံပြပါသည်.
အားနည်းချက်ကို မည်သို့ကိုင်တွယ်ဖြေရှင်းခဲ့သည်
Google Security Team သို့ အားနည်းချက်အကြောင်း အကြောင်းကြားပြီးနောက်၊ ၎င်းတို့သည် မူရင်း Cloud Build ဝန်ဆောင်မှုအကောင့်မှ logging.privateLogEntries.list ခွင့်ပြုချက်ကို ရုပ်သိမ်းခြင်းဖြင့် အရေးယူဆောင်ရွက်ခဲ့သည်။ setIamPolicy audit logs များသည် စာရင်းစစ်ရည်ရွယ်ချက်များအတွက် သက်ဆိုင်သော်လည်း၊ cloud build ဝန်ဆောင်မှုအကောင့်၏ ရှုထောင့်မှ ဤ logs များကို ဝင်ရောက်ကြည့်ရှုခွင့်ပေးခြင်းသည် မလိုအပ်ကြောင်း ၎င်းတို့ ဝန်ခံခဲ့ကြသည်။
သို့သော်၊ ဤတုံ့ပြန်မှုသည် Artifact Registry အတွင်းရှိ root vulnerability ကို တိုက်ရိုက်ဖြေရှင်းခြင်းမရှိကြောင်း နားလည်ရန် အရေးကြီးပါသည်။ ရလဒ်အနေဖြင့်၊ privilege escalation vector နှင့် supply chain attack ၏ဖြစ်နိုင်ခြေအန္တရာယ်ကို မထိခိုက်ခဲ့ပါ။ အခြေခံအားဖြင့် Google ၏ပြင်ဆင်မှုသည် ပြဿနာကို ကန့်သတ်ထားသော်လည်း လုံးဝဖယ်ရှားပစ်ခြင်းမဟုတ်သောကြောင့် အဖွဲ့အစည်းများသည် သိသာထင်ရှားသော software supply chain အန္တရာယ်များနှင့် ရင်ဆိုင်နေရဆဲဖြစ်သည်။
အခြေအနေကို တုံ့ပြန်သည့်အနေဖြင့် Google သည် ၎င်း၏ဖောက်သည်များအား အနည်းဆုံးအခွင့်အရေးမူ (PoLP) မှ သွေဖည်သွားသော မည်သည့်အခွင့်အရေးအထောက်အထားများကိုမဆို ဖယ်ရှားခြင်းဖြင့် မူရင်း Cloud Build Service Account ၏ ခွင့်ပြုချက်များကို ပြင်ဆင်ရန် အကြံပေးခဲ့သည်။ ဤအစီအမံသည် အကောင့်များတွင် ၎င်းတို့၏ ရည်ရွယ်ထားသော လုပ်ငန်းဆောင်တာများကို လုပ်ဆောင်ရန် အနည်းဆုံးလိုအပ်သော အခွင့်ထူးများသာရှိကြောင်း သေချာစေခြင်းဖြင့် လုံခြုံရေးကို မြှင့်တင်ရန် ရည်ရွယ်ပါသည်။
ဤအထူးအခွင့်အရေးတိုးမြှင့်တိုက်ခိုက်မှုကို ကာကွယ်ရန်အတွက် Cloud Build Service Account သို့ ပေးအပ်သော ခွင့်ပြုချက်များကို ကန့်သတ်ရန်နှင့် ပေးအပ်ခြင်းကို သတိထားရန် လိုအပ်ပါသည်။ cloudbuild.builds.create သင့်အဖွဲ့အစည်းရှိ မည်သည့်အသုံးပြုသူများအတွက်မဆို ခွင့်ပြုချက်။ အရေးကြီးဆုံးမှာ ခွင့်ပြုထားသော မည်သည့်အသုံးပြုသူမဆို သင်သိထားရန် လိုအပ်သည် cloudbuild.builds.create, သည် Cloud Build Service Account သို့ ပေးအပ်ထားသော ခွင့်ပြုချက်အားလုံးကို သွယ်ဝိုက်၍ ပေးအပ်ထားသည်။ သင်အဆင်ပြေပါက ဤတိုက်ခိုက်မှု vector အတွက် စိတ်ပူစရာမလိုသော်လည်း Cloud Build Service Account သို့ ပေးအပ်ထားသော default permissions များကို ပြင်ဆင်ရန် အထူးအကြံပြုလိုပါသည်။
Google ဒါကို အကျဉ်းချုပ် အကြံပြုပါတယ်၊ သို့သော် နောက်ထပ်အသေးစိတ်အချက်အလက်များကို မပေးထားပါ-
"တည်ဆောက်မှုလုပ်ငန်းစဉ်၏ တစ်စိတ်တစ်ပိုင်းအနေဖြင့် လုပ်ဆောင်ချက်တစ်ခု လုပ်ဆောင်ရန် မစီစဉ်ထားပါက၊ အနည်းဆုံးအခွင့်ထူး၏ လုံခြုံရေးမူနှင့်အညီ Cloud Build ဝန်ဆောင်မှုအကောင့်မှ သက်ဆိုင်ရာခွင့်ပြုချက်ကို ရုပ်သိမ်းရန် ကျွန်ုပ်တို့ အကြံပြုအပ်ပါသည်။"
timeline ကို
Rhino Security Labs သည် အခွင့်ထူးတိုးမြှင့်ခြင်းပြဿနာအကြောင်း ပို့စ်တင်ပြီး ၎င်းအတွက် PoC python script * တစ်ခု ဖန်တီးခဲ့သည်။
Orca Security က ၎င်းတို့၏ တွေ့ရှိချက်များကို Google Security Team သို့ တင်ပြခဲ့သည်။
Google သည် စုံစမ်းစစ်ဆေးမှုတစ်ခု ပြုလုပ်ခဲ့ပြီး တုံ့ပြန်မှုအနေဖြင့် တစ်စိတ်တစ်ပိုင်းပြင်ဆင်မှုကို အကောင်အထည်ဖော်ခဲ့သည်။
သို့သော် Google ၏ ကုစားနည်းသည် ရှာဖွေတွေ့ရှိထားသော Privilege Escalation (PE) vector ကို လုံးဝဖယ်ရှားပစ်ခြင်းမဟုတ်ကြောင်း သတိပြုရန် အရေးကြီးပါသည်။ ယင်းအစား၊ ၎င်းသည် ၎င်း၏သက်ရောက်မှုကို ကန့်သတ်ထားပြီး အဖွဲ့အစည်းများအား ထောက်ပံ့ရေးကွင်းဆက်တိုက်ခိုက်မှု၏ ပိုမိုကျယ်ပြန့်သောအန္တရာယ်ကို ဖြစ်ပေါ်စေသည့် ဒီဇိုင်းချို့ယွင်းချက်တစ်ခုအဖြစ်သို့ ထိရောက်စွာပြောင်းလဲပေးခဲ့သည်။ ထို့ကြောင့်၊ ဤကြာရှည်နေသောအန္တရာယ်ကို ကာကွယ်ရန် လုံခြုံရေးအဖွဲ့များအတွက် အပိုဆောင်းအစီအမံများ လိုအပ်ပါသည်။
ကောက်ချက်
default Google Cloud Build အကောင့်သို့ ပေးအပ်ထားသော အလွန်အကျွံ အခွင့်အရေးများကို ရန်သူများက cloud build တစ်ခု ဖန်တီးခွင့်ပြုသည့် developer အကောင့်ကို အသုံးပြုခြင်းဖြင့် တိုက်ခိုက်မှုတစ်ခု စတင်ရန် အသုံးချနိုင်သည်။ တိုက်ခိုက်သူများသည် container image တစ်ခုကို ထုတ်ယူပြီး မကောင်းသော အပြုအမူများဖြင့် ပြုပြင်ပြောင်းလဲကာ Artifact Registry သို့ တွန်းပို့ကာ ဆိုးရွားသော အကျိုးဆက်များ ရှိနိုင်သည့် software supply chain တိုက်ခိုက်မှုတစ်ခုတွင် အသုံးပြုနိုင်သည်။
Google ရဲ့ တုံ့ပြန်မှုကြောင့် လျော့ပါးသက်သာစေရေး လုပ်ငန်းကို Cloud Build ဝန်ဆောင်မှုကို အသုံးပြုနေတဲ့ အဖွဲ့အစည်းတွေဆီ လွှဲအပ်ထားပြီး၊ အန္တရာယ်ကို ထိန်းချုပ်ဖို့အတွက် အခွင့်ထူးတွေကို ရုပ်သိမ်းဖို့ လိုအပ်ပါတယ်။ အနာဂတ်မှာ သူတို့ရဲ့ လုံခြုံရေးပြဿနာတွေကို ကိုင်တွယ်ဖြေရှင်းဖို့အတွက် Google ကို နောက်ထပ်အကူအညီပေးဖို့ တောင်းဆိုနိုင်ပါတယ်။ CI/CD စနစ်။
ကိုးကား
- ရည်ရွယ်ထားသည့်အတိုင်း လုပ်ဆောင်ခြင်း- GCP Cloud Build တွင် RCE မှ IAM Privilege Escalation။ Rhino လုံခြုံရေးဓာတ်ခွဲခန်းများ။
- Bad.Build: Google Cloud Build ရှိ PE နှင့် RCE အားနည်းချက်များ။ အော်ကာ လုံခြုံရေး။
- လုံခြုံရေး သတင်းလွှာ။ ဂူဂယ်ကလောက်။
Xygeni Platform အကြောင်းပိုမိုသိရှိလိုပါက Xygeni ၏ platform datasheet ကို ဒေါင်းလုဒ်လုပ်ပါ။
