faʻatomuaga
Ua faʻailoa mai talu ai nei e le Orca Security se faʻaletonu i le mamanu i le tautua a le Google Cloud Build, ua taʻua o le “Bad.Build.” O lenei faʻaletonu e mafua ai se lamatiaga tele i le saogalemu aua e mafai ai e tagata osofaʻi ona faʻatinoina le Privilege Escalation, ma tuʻuina atu ai ia i latou le ulufale atu e aunoa ma se faʻatagaina i totonu o fale teu oloa a le Google's Artifact Registry.
O taunuuga o lenei vaivaiga e oo atu i le sapalai o polokalama faakomepiuta, aua e mafai e tagata osofaʻi ona faʻaaogaina e faʻasese ai ata o polokalama faakomepiuta ma le faʻamoemoe leaga. O le mea lea, o tagata faʻaoga e le masalomia ma tagata faʻatau e faʻapipiʻi polokalama faʻaleagaina e ono aʻafia i faʻamaʻi pipisi.
O lenei tulaga ua faamanatu mai ai ia i tatou le aafiaga tele na molimauina i osofaiga i le sapalai oloa i aso ua mavae e pei o le SolarWinds, 3CX, ma MOVEit, ma faamamafaina ai aafiaga tetele o ia faaletonu i le puipuiga.
Pe faapefea ona galue?
Google Ao Fausia o loʻo tu o se tuʻufaʻatasiga faifai pea/tuʻuina atu faifai pea (CI/CD) o se tautua o loʻo ofoina atu i totonu o le Google Cloud ecosystem. E taua tele lona sao i talosaga faʻavae i luga o le ao e ala i le fegalegaleai lelei ma isi tautua taua e pei o le Artifact Registry ma le App Engine.
O le fa'aletonu o lo'o iai nei e mafua mai i se fa'afitauli e tele naua avanoa. Ae maise lava, o le "logging.privateLogEntries.list"o se gaioiga e le'i mafaufauina e mafai ai ona lisiina o fa'amaumauga o su'esu'ega i se matafaioi e le'i mafaufauina, o lona uiga"matafaioi/cloudbuild.builds.builder. "
E fa'anoanoa, o lenei matafaioi masani ua tofia i le teugatupe tautua fausia ao. O lenei tulaga e mafua ai se lamatiaga tele ona o lo'o i ai fa'amatalaga taua i totonu o fa'amaumauga o su'esu'ega, ma fa'aalia ai fa'atagaga uma e feso'ota'i ma le galuega faatino. O lenei avanoa e le'i fuafuaina e tu'uina atu ai i tagata osofa'i le avanoa e fa'atagā ai i le teugatupe fausia ao, ma maua ai le malamalama e uiga i gaioiga e mafai ona faia e teugatupe eseese a Google. O le i'uga, e tatala ai le faitoto'a i le gaioiga fa'alava ma le fa'ateleina o avanoa, ma tu'uina atu ai se vaivaiga tele i le saogalemu.
E na'o le mana'omia o le fa'atagā o le teugatupe tautua fausiaina cloudbuild.builds.create fa'atagaga, lea e tele matafaioi ua uma ona fa'amatalaina, ma e tu'uina atu i tagata atia'e i so'o se auala talafeagai CI/CD siosiomaga e faʻaaogaina ai le Cloud Build. O lea la, afai e te maua le avanoa i se tasi o teugatupe a le tagata atiaʻe faapena, o le fatuina o se faila faʻatulagaina o le fausiaina faʻapitoa o le a faʻatinoina ai le poloaiga faitau o le gcloud logging, lea o le a lisiina ai fa'atagaga.
Ae e lē gata iinā le faʻafitauli: o le E matuā tāua tele le teugatupe tautua a le Google Cloud Build, faatasi ai ma le tele o gaioiga mo le fegalegaleai ma le Goggle's Artifact Registry.
I le fa'aaogaina o le vaivaiga lea e mafai ai ona fa'atagā i le teugatupe masani a le tautua Cloud Build, e maua ai e tagata fa'aleaga le gafatia e fa'aleagaina ai ata o lo'o teuina i le Google's Artifact Registry e ala i le fa'aofiina o le code leaga. O le i'uga, so'o se talosaga na fausia mai nei ata ua fa'aleagaina e ono a'afia ai i ni taunuuga e ono tula'i mai, e aofia ai osofa'iga a le Denial-of-Service (DoS), gaoi o fa'amatalaga, ma le salalau atu o polokalama leaga.
E fa'ateteleina le ogaoga o le tulaga pe a fa'amoemoe nei talosaga fa'a'ole'ole mo le fa'atinoina i siosiomaga a tagata fa'atau, e tusa lava pe on-premise po'o le semi-SaaS. O lenei mea e fa'alauteleina ai le lamatiaga i tua atu o le atina'e o le fa'alapotopotoga o lo'o tu'uina atu sapalai, e o'o atu ai i se osofa'iga i le sapalai o sapalai lea e fa'aulufale ma fa'aleagaina ai siosiomaga o tagata fa'atau. O ia osofa'iga e tutusa ma mea na tutupu muamua na va'aia i le solia o le sapalai o polokalama faakomepiuta, e pei o le solia o le SolarWinds. O a'afiaga o sea osofa'iga e mafai ona ogaoga, e mafua ai le fa'aleagaina lautele ma a'afia ai le tele o fa'alapotopotoga i totonu o le sapalai o sapalai.
Sa iai fo'i se fa'aopoopoga fa'apena o le PoC e ala i Fale Su'esu'e Puipuiga o Rhino, lea na faʻaaogaina i se isi auala avanoa tele o le teugatupe Cloud Build masani.
Aisea e matautia ai?
O le ogaoga o lenei vaivaiga o loʻo taoto i lona gafatia e faʻaaogaina ai e tagata osofaʻi le Artifact Registry ma faʻaofi ai ni code leaga i totonu o meafaitino. O le iʻuga, soʻo se talosaga na fausia mai nei ata ua faʻaleagaina e ono aʻafia i ni aʻafiaga leaga eseese.
O nei aafiaga e aofia ai le ono mafai ona osofaia e le Denial-of-Service, gaoia o faamatalaga, ma le faasalalauina o polokalama leaga. E le gata i lea, afai e faʻaaogaina mulimuli ane nei polokalama ua faaleagaina. on-premise pe i se siosiomaga semi-SaaS, e fa’alautele atu le lamatiaga i tua atu o le fa’alapotopotoga ua a’afia e a’afia ai fo’i a latou tagata fa’atau. O lenei tulaga e foliga tutusa ma le osofa’iga o le sapalai na molimauina i le fa’alavelave a le SolarWinds, ma fa’amamafaina ai taunuuga e ono tula’i mai mo le fa’alapotopotoga ma ana tagata fa’atau.
Fautuaga a Xygeni
Fa'aaoga le mataupu faavae o le Fa'amanuiaga Maualalo
- Sene o le Xygeni mata'ituina gaioiga a tagata fa'aoga i totonu o polokalama o lo'o fa'atinoina ai ma fa'asoa atu i la matou fa'avae autu, lea e fa'ailoa mai ai amioga e le masani ai po'o ni eseesega mai mamanu masani, e pei o mea e le masani ai login taimi po'o nofoaga, fesiitaiga tetele o fa'amatalaga, po'o suiga i aia tatau a tagata fa'aoga e le o aofia i le amioga 'masani' a le tagata fa'aoga ua fa'ata'ita'iina.
O faiga faʻavae ma suʻesuʻega a Xygeni e faʻamalosia ai faiga sili ona lelei i pulega o avanoa, manaʻoga faʻamaoniga e tele-vaega, ma talosaga faʻatagaga e faʻavae i matafaioi e faʻatapulaʻa ai le avanoa a tagata faʻaoga i faiga ma faʻamatalaga taua.
O nei meafaigaluega e mata'ituina gaioiga a tagata fa'aoga, e pei o suiga o tulafono fa'akomepiuta, avanoa i le polokalama, po'o le fesiitaiga o fa'amatalaga, ma fa'atusatusa i latou i faiga fa'avae ma mamanu amioga ua uma ona fa'atulagaina. Latou te faʻailoa foʻi gaoioiga masalomia, e pei o le ulufale e leʻi faʻatagaina, faʻamanuiaga tele, poʻo ni mamanu e le masani ai o le fesiitaiga o faʻamatalaga.
Le Auala na Taulimaina ai le Vaivaiga
Ina ua logoina le 'Au Saogalemu a Google i le vaivaiga, sa latou faia se gaioiga e ala i le faaleaogaina o le faatagaga o le logging.privateLogEntries.list mai le teugatupe masani a le tautua Cloud Build. Sa latou ioeina e ui o faamaumauga o le su'esu'ega a le setIamPolicy e talafeagai mo faamoemoega o su'esu'ega, ae o le tuuina atu o le avanoa i nei faamaumauga mai le vaaiga a le teugatupe tautua cloud build e le manaomia.
Peita’i, e taua tele le malamalama o lenei tali e le’i foia sa’o ai le vaivaiga autū i totonu o le Artifact Registry. O le i’uga, o le fa’ateleina o avanoa ma le lamatiaga e ono tula’i mai i se osofa’iga i le sapalai oloa e le’i a’afia ai. O le mea moni, o le fa’aleleia a Google na fa’atapula’aina ai le fa’afitauli ae le’i aveesea atoa, ma tu’ua ai fa’alapotopotoga o lo’o feagai pea ma lamatiaga tetele i le sapalai oloa o polokalama faakomepiuta.
I le tali atu i le tulaga, na fautuaina ai e Google ana tagata faʻatau e sui faʻatagaga o le Cloud Build Service Account masani e ala i le aveeseina o soʻo se faʻamaoniga e ese mai le Mataupu Faavae o le Avanoa Maualalo (PoLP). O lenei fuafuaga e faʻamoemoe e faʻaleleia atili le saogalemu e ala i le faʻamautinoaina o loʻo i ai i teugatupe naʻo avanoa maualalo e manaʻomia e faʻatino ai a latou galuega faʻamoemoeina.
Ina ia puipuia mai lenei osofaʻiga faʻateleina o avanoa, e tatau ona faʻatapulaʻaina faʻatagaga ua tuʻuina atu i le Cloud Build Service Account ma ia faʻaeteete i le tuʻuina atu o le cloudbuild.builds.create fa'atagaga i so'o se tagata fa'aoga i lau fa'alapotopotoga. O le mea e sili ona taua, e tatau ona e iloa o so'o se tagata fa'aoga ua tu'uina atu cloudbuild.builds.create, ua tuʻuina atu foʻi i se auala lē tuusaʻo ia faʻatagaga uma ua tuʻuina atu i le Cloud Build Service Account. Afai e te le popole i lea mea, atonu e te lē tau popole i lenei osofaʻiga, ae e matuā fautuaina lava e te suia faʻatagaga masani ua tuʻuina atu i le Cloud Build Service Account.
Google fautuaina lenei mea i se auala puupuu, ae e le o tuʻuina mai nisi faʻamatalaga auiliili:
“Afai e te lē fuafua e faatino se gaioiga o se vaega o le faagasologa o le fausiaina, matou te fautuaina oe e faaleaogaina le faatagaga talafeagai mai le teugatupe tautua a le Cloud Build ina ia tausisia le mataupu faavae o le saogalemu o le avanoa aupito itiiti.”
taimi faatulagaina
Na lolomiina e le Rhino Security Labs se faʻamatalaga e uiga i le faʻafitauli o le faʻateleina o avanoa ma fatuina se tusitusiga python PoC * mo ia.
Na lipotia atu e le Orca Security a latou sailiiliga i le Google Security Team.
Na faia e Google se suʻesuʻega ma faʻatino se faʻaleleia o se vaega.
Peita’i, e taua le maitauina e le’i aveesea atoa e le fofo a Google le fa’afitauli o le Privilege Escalation (PE) na maua. Nai lo lea, na fa’atapula’aina lona a’afiaga, ma liua ai i se fa’aletonu o le mamanu lea e fa’aalia pea fa’alapotopotoga i le lamatiaga lautele o se osofa’iga i le sapalai oloa. O le mea lea, e mana’omia ai ni isi fuafuaga mo ‘au puipuiga e puipuia ai mai lenei lamatiaga tumau.
iʻuga
E mafai e fili ona fa'aaogaina avanoa fa'apitoa e tele naua e tu'uina atu i le teugatupe Google Cloud Build masani e fa'atino ai se osofa'iga e ala i le fa'aaogaina o se teugatupe a le tagata atia'e e mafai ai ona fatuina se fa'atulagaga ao. E mafai e tagata osofa'i ona aveese se ata o se koneteina, fa'aleagaina i ni amioga leaga, ona tu'uina atu lea i le Artifact Registry, i se osofa'iga i le sapalai o polokalama faakomepiuta e ono i ai ni taunuuga mata'utia.
O le tali a Google ua tuʻuina atu ai le galuega faʻaitiitia i faʻalapotopotoga o loʻo faʻaaogaina le tautua Cloud Build, lea e manaʻomia ona aveese avanoa e pulea ai le lamatiaga. E mafai e se tasi ona talosaga atu ia Google e tuʻuina atu se fesoasoani faaopoopo i le lumanaʻi mo le taulimaina o mataupu tau puipuiga ma a latou CI/CD faiga.
mau faasino
- Galue e pei ona Fa'amoemoeina: Fa'ateleina o Fa'amanuiaga RCE i le IAM i le GCP Cloud Build. Rhino Security Labs.
- Bad.Build: Vaivaiga o le PE ma le RCE i le Google Cloud Build. Puipuiga o Orca.
- Pepa Fa'asalalau o le Puipuiga.Google Cloud.
Ia iloa atili e uiga i le Xygeni Platform, sii mai le pepa fa'amatalaga o le Xygeni platform
