Муқаддима
Ширкати Orca Security ба наздикӣ як камбудии тарроҳиро дар хидмати Google Cloud Build бо номи "Bad.Build" муайян кард. Ин камбуди хатари ҷиддии амниятӣ эҷод мекунад, зеро он ба ҳамлагарон имкон медиҳад, ки имтиёзҳои Escalation-ро иҷро кунанд ва ба онҳо имкони воридшавии беиҷозат ба анборҳои рамзи Artifact Registry-и Google-ро диҳанд.
Оқибатҳои ин осебпазирӣ ба занҷираи таъминоти нармафзор низ паҳн мешаванд, зеро ҳамлагарон метавонанд онро барои таҳрифи тасвирҳои барнома бо нияти бадхоҳона истифода баранд. Дар натиҷа, корбарон ва муштариёни бехабаре, ки барномаҳои таҳрифшударо насб мекунанд, метавонанд қурбонии сироятҳо шаванд.
Ин вазъият ба мо таъсири назаррасеро, ки дар ҳамлаҳои гузаштаи занҷираи таъминот ба монанди SolarWinds мушоҳида шуда буд, хотиррасон мекунад. 3CXва MOVEit, таъкид ба оқибатҳои дурдасти чунин камбудиҳои амниятӣ.
Чӣ тавр он кор мекунад?
Google Сохтани абрӣ ҳамчун ҳамгироии пайваста/расонидани пайваста (CI/CD) хидмате, ки дар дохили экосистемаи Google Cloud пешниҳод карда мешавад. Он тавассути ҳамкории бефосила бо дигар хидматҳои муҳим, ба монанди Реестри Artifact ва App Engine, дар барномаҳои абрӣ нақши муҳим мебозад.
Камбудии мавҷуда аз масъалаи дорои имтиёзҳои аз ҳад зиёд бармеояд. Хусусан, "logging.privateLogEntries.list"амали тасодуфан имкон медиҳад, ки гузоришҳои аудит ба нақши номатлуб номбар карда шаванд, яъне"нақшҳо/cloudbuild.builds.builder. "
Мутаассифона, ин нақши пешфарз ба ҳисоби хидматрасонии сохтани абрӣ таъин карда мешавад. Ин вазъият хатари ҷиддӣ эҷод мекунад, зеро гузоришҳои аудит дорои маълумоти махфӣ мебошанд ва ҳамаи иҷозатномаҳои марбут ба лоиҳаро ошкор мекунанд. Ин дастрасии номатлуб ба ҳамлагарон имкон медиҳад, ки ҳисоби сохтани абриро тақлид кунанд ва бо ин васила дар бораи он, ки кадом амалҳоро метавон аз ҷониби ҳисобҳои гуногуни Google анҷом дод, маълумот ба даст меоранд. Дар натиҷа, ин дарро барои ҳаракати паҳлӯӣ ва афзоиши имтиёзҳо мекушояд, ки осебпазирии бениҳоят хатарноки амниятӣ мебошад.
Тақлид кардани ҳисоби хидматрасонии сохтмонӣ танҳо талаб мекунад cloudbuild.builds.create иҷозате, ки бисёр нақшҳои пешакӣ муайяншуда доранд ва ба таҳиягарон дар ҳама гуна оқилона дода мешаванд CI/CD муҳити зист бо истифода аз Cloud Build. Пас, агар шумо ба яке аз чунин ҳисоби таҳиягар дастрасӣ дошта бошед, эҷоди файли танзимоти фармоишии сохташуда дар асл онро иҷро мекунад фармони хондани сабти gcloud, ки иҷозатҳоро номбар мекунад.
Аммо мушкилот дар ин ҷо хотима намеёбад: Ҳисоби хидматрасонии Google Cloud Build дорои имтиёзҳои баланд аст, бо амалҳои зиёде барои ҳамкорӣ бо Феҳристи артефактҳои Google.
Бо истифода аз осебпазирие, ки имкон медиҳад ҳисоби пешфарзии хидматрасонии Cloud Build тақлид карда шавад, амалкунандагони зараровар қобилияти тағир додани тасвирҳои дар Феҳристи Artifact-и Google нигоҳдошташударо тавассути ворид кардани рамзи зараровар ба даст меоранд. Дар натиҷа, ҳама гуна барномаҳое, ки аз ин тасвирҳои осебдида сохта шудаанд, ба оқибатҳои эҳтимолӣ, аз ҷумла ҳамлаҳои рад кардани хидматрасонӣ (DoS), дуздии маълумот ва паҳншавии нармафзори зараровар, осебпазир мешаванд.
Шиддати вазъият вақте шиддат мегирад, ки ин барномаҳои таҳриршуда барои ҷойгиркунӣ дар муҳити муштариён пешбинӣ шудаанд, хоҳ on-premise ё ним-SaaS. Ин хатарро аз доираи инфрасохтори ташкилоти таъминкунанда берун мекунад ва боиси ҳамлаи занҷираи таъминот мегардад, ки ба муҳити муштариён ворид шуда, онҳоро зери хатар мегузорад. Чунин ҳамлаҳо ба ҳодисаҳои қаблӣ монанданд, ки дар вайронкунии занҷираи таъминоти нармафзор, ба монанди вайронкунии SolarWinds, дида мешаванд. Оқибатҳои чунин ҳамла метавонанд ҷиддӣ бошанд, зарари васеъ расонанд ва ба якчанд ташкилот дар дохили занҷираи таъминот таъсир расонанд.
Афзоиши имтиёзҳои монанд ба PoC аз ҷониби Лабораторияҳои амниятии Рино, ки аз имтиёзҳои аз ҳад зиёди ҳисоби пешфарзии Cloud Build ба таври дигар истифода бурд.
Чаро он хатарнок аст?
Ҷиддияти ин осебпазирӣ дар он аст, ки ҳамлагарон метавонанд аз Феҳристи артефактҳо истифода баранд ва рамзи зарароварро ба артефактҳо ворид кунанд. Дар натиҷа, ҳама гуна барномаҳое, ки аз ин тасвирҳои вайроншуда сохта шудаанд, ба таъсири манфии гуногун осебпазир мешаванд.
Ин таъсирҳо эҳтимолияти ҳамлаҳои рад кардани хидматрасонӣ, дуздии маълумот ва паҳншавии нармафзори зарароварро дар бар мегиранд. Ғайр аз ин, агар ин барномаҳои осебдида баъдан истифода шаванд. on-premise ё дар муҳити ним-SaaS, хатар аз доираи созмони ҷабрдида берун рафта, ба муштариёни онҳо низ таъсир мерасонад. Ин сенария ба ҳамлаи занҷираи таъминот, ки дар ҳодисаи SolarWinds шоҳиди он буд, монанд аст ва оқибатҳои эҳтимолиро ҳам барои созмон ва ҳам барои пойгоҳи муштариёни он нишон медиҳад.
Тавсияи Xygeni
Принсипи камтарин имтиёзро татбиқ кунед
- Сенсори ксигенӣ амалҳои корбарро дар системаҳое, ки дар он ҷо ҷойгир карда мешавад, назорат мекунад ва онҳоро бо платформаи асосии мо мубодила мекунад, ки рафтори ғайриоддӣ ё инҳирофро аз намунаҳои муқаррарӣ, ба монанди ғайриоддӣ, муайян мекунад. login вақтҳо ё маконҳо, интиқоли маълумоти калон ё тағйирот дар ҳуқуқҳои дастрасии корбар, ки аз доираи рафтори "муқаррарии" корбар, ки модел карда шудааст, берунанд.
Сиёсатҳо ва аудити Xygeni беҳтарин таҷрибаҳоро дар назорати дастрасӣ, талаботи аутентификатсияи бисёромилӣ ва барномаҳои иҷозатномаҳои асоси нақш татбиқ мекунанд, то дастрасии корбаронро ба системаҳо ва маълумоти муҳим маҳдуд кунанд.
Ин абзорҳо амалҳои корбарро, аз қабили тағир додани код, дастрасӣ ба система ё интиқоли маълумот, назорат мекунанд ва онҳоро бо сиёсатҳо ва намунаҳои рафтории пешакӣ муайяншуда муқоиса мекунанд. Онҳо инчунин фаъолиятҳои шубҳанокро, аз қабили дастрасии беиҷозат, имтиёзҳои аз ҳад зиёд ё намунаҳои ғайриоддии интиқоли маълумот, қайд мекунанд..
Чӣ гуна бо осебпазирӣ мубориза бурда шуд
Пас аз огоҳ кардани Гурӯҳи Амнияти Google дар бораи осебпазирӣ, онҳо бо бекор кардани иҷозати logging.privateLogEntries.list аз ҳисоби пешфарзии хидматрасонии Cloud Build чора андешиданд. Онҳо эътироф карданд, ки гарчанде гузоришҳои аудити setIamPolicy барои мақсадҳои аудит муҳиманд, додани дастрасӣ ба ин гузоришҳо аз нуқтаи назари ҳисоби хидматрасонии абрӣ нолозим буд.
Аммо, фаҳмидани он муҳим аст, ки ин вокуниш мустақиман ба осебпазирии реша дар Феҳристи Artifact муроҷиат накардааст. Дар натиҷа, вектори афзоиши имтиёзҳо ва хатари эҳтимолии ҳамла ба занҷираи таъминот бетағйир монд. Асосан, ислоҳи Google мушкилотро маҳдуд кард, аммо онро пурра бартараф накард ва ташкилотҳоро то ҳол дар хатарҳои назарраси занҷираи таъминоти нармафзор қарор дод.
Дар посух ба ин вазъият, Google ба муштариёни худ маслиҳат дод, ки иҷозатномаҳои Ҳисоби пешфарзии хидматрасонии Cloud Build-ро тавассути нест кардани ҳама гуна эътимодномаҳои ҳуқуқӣ, ки аз Принсипи имтиёзи камтарин (PoLP) фарқ мекунанд, тағир диҳанд. Ин тадбир барои беҳтар кардани амният тавассути таъмини он, ки ҳисобҳо танҳо имтиёзҳои ҳадди ақали заруриро барои иҷрои вазифаҳои пешбинишуда доранд, равона шудааст.
Барои муҳофизат аз ин ҳамлаи афзоиши имтиёзҳо, маҳдуд кардани иҷозатҳое, ки ба ҳисоби хидматрасонии Cloud Build дода шудаанд ва ҳангоми додани онҳо эҳтиёткор будан зарур аст. cloudbuild.builds.create иҷозат ба ҳама гуна корбарон дар ташкилоти шумо. Муҳимтар аз ҳама, шумо бояд донед, ки ҳар як корбаре, ки ба он иҷозат дода шудааст cloudbuild.builds.create, инчунин ба таври ғайримустақим ҳамаи иҷозатҳоеро, ки ба ҳисоби хидматрасонии Cloud Build дода шудаанд, медиҳад. Агар ин барои шумо хуб бошад, пас шояд ба шумо лозим набошад, ки дар бораи ин вектори ҳамла хавотир шавед, аммо ҳоло ҳам тавсия дода мешавад, ки иҷозатҳои пешфарзеро, ки ба ҳисоби хидматрасонии Cloud Build дода шудаанд, тағир диҳед.
Google инро ба таври мухтасар тавсия медиҳад, аммо тафсилоти бештар намедиҳад:
"Агар шумо нақшаи иҷрои амалро ҳамчун як қисми раванди сохтан надошта бошед, мо тавсия медиҳем, ки иҷозати мувофиқро аз ҳисоби хидматрасонии Cloud Build барои риояи принсипи амниятии камтарин имтиёз бекор кунед."
Давомнокӣ
Ширкати Rhino Security Labs дар бораи масъалаи афзоиши имтиёзҳо хабар дод ва барои он скрипти питони PoC *-ро эҷод кард.
Ширкати Orca Security натиҷаҳои худро ба Гурӯҳи Амниятии Google гузориш дод.
Google дар посух тафтишот гузаронд ва қисман ислоҳро амалӣ кард.
Аммо, бояд қайд кард, ки чораи Google вектори кашфшудаи Имтиёзҳои Афзоиш (PE)-ро пурра аз байн набурд. Баръакс, он таъсири онро маҳдуд кард ва онро ба як камбудии тарроҳӣ табдил дод, ки то ҳол ташкилотҳоро дар хатари васеътари ҳамла ба занҷираи таъминот қарор медиҳад. Дар натиҷа, барои гурӯҳҳои амниятӣ чораҳои иловагӣ лозиманд, то аз ин хатари боқӣ монад.
хулоса
Имтиёзҳои аз ҳад зиёд, ки ба ҳисоби пешфарзии Google Cloud Build дода шудаанд, метавонанд аз ҷониби рақибон барои анҷом додани ҳамла бо истифода аз ҳисоби таҳиякунанда, ки имкон медиҳад як сохтори абрӣ эҷод карда шавад, истифода шаванд. Ҳамлагарон метавонанд тасвири контейнерро аз байн баранд, онро бо рафтори зараровар тағйир диҳанд ва сипас онро ба Феҳристи артефактҳо интиқол диҳанд, ки ин ҳамлаи занҷираи таъминоти нармафзор буда метавонад оқибатҳои харобиовар дошта бошад.
Вокуниши Google кори коҳиш додани хатарро ба зиммаи ташкилотҳое вогузор мекунад, ки аз хидмати Cloud Build истифода мебаранд, ки бояд имтиёзҳоро барои назорати хатар бекор кунанд. Аз Google хоҳиш кардан мумкин аст, ки дар оянда барои ҳалли масъалаҳои амниятӣ бо онҳо кӯмаки иловагӣ расонад. CI/CD система.
Адабиёт
- Кор кардан мувофиқи мақсад: Афзоиши имтиёзи RCE ба IAM дар GCP Cloud BuildЛабораторияҳои амниятии Рино.
- Bad.Build: Осебпазириҳои PE ва RCE дар Google Cloud BuildАмнияти Орка.
- Бюллетени амниятӣGoogle Cloud.
Дар бораи платформаи Xygeni маълумоти бештар гиред, варақаи маълумоти платформаи Xygeni-ро зеркашӣ кунед
