ifihan
Orca Security ti ṣàwárí àléébù kan nínú iṣẹ́ Google Cloud Build láìpẹ́ yìí, tí orúkọ rẹ̀ ń jẹ́ “Bad.Build.” Àléébù yìí fa ewu ààbò tó lágbára nítorí ó ń jẹ́ kí àwọn olùkọlù lè ṣe Privilege Escalation, èyí tó ń fún wọn láyè láti wọ inú ibi ìkópamọ́ kódì Google’s Artifact Registry láìgbàṣẹ.
Àbájáde àìlera yìí gbòòrò sí ẹ̀ka ìpèsè sọ́fítíwètì náà, nítorí pé àwọn olùkọlù lè lo ó láti fi ṣe àtúnṣe àwọn àwòrán sọ́fítíwè pẹ̀lú èrò búburú. Nítorí náà, àwọn olùlò tí kò fura àti àwọn oníbàárà tí wọ́n fi àwọn sọ́fítíwè tí wọ́n ti bàjẹ́ sínú ẹ̀rọ lè jẹ́ ẹni tí àkóràn ń bá.
Ipo yii n ran wa leti ipa pataki ti a ri ninu awọn ikọlu pq ipese ti o ti kọja bi SolarWinds, 3CX, Ati MOVEit, tí ó tẹnu mọ́ àwọn àbájáde jíjìnnà tí irú àwọn ìyípadà ààbò bẹ́ẹ̀ ní.
Bi o ti ṣiṣẹ?
Google Awọsanma Kọ dúró gẹ́gẹ́ bí ìṣọ̀kan tó ń bá a lọ/ìfijiṣẹ́ tó ń bá a lọ (CI/CD) iṣẹ́ tí a ń ṣe láàárín ètò ìṣiṣẹ́ Google Cloud. Ó ń kó ipa pàtàkì nínú àwọn ohun èlò tí a fi ìkùukùu ṣe nípa ṣíṣe ìbáṣepọ̀ láìsí ìṣòro pẹ̀lú àwọn iṣẹ́ pàtàkì mìíràn bíi Artifact Registry àti App Engine.
Àbùkù tó wà nílẹ̀ yìí jẹ́ nítorí ìṣòro tó ní àwọn àǹfààní tó pọ̀ jù. Ní pàtàkì, “wíwọlé.privateLogEntries.list"Ìgbésẹ̀ láìmọ̀ọ́mọ̀ gba àkójọ àwọn àkọsílẹ̀ ìṣàyẹ̀wò láàyè sí ipa tí a kò ní èrò, ìyẹn ni"ipa/cloudbuild.builds.builder. "
Ó bani nínú jẹ́ pé ipa àìṣeéṣe yìí ni a yàn sí àkọọ́lẹ̀ iṣẹ́ ìkọ́lé ìkùukùu. Ipò yìí fa ewu ńlá nítorí pé àwọn àkọsílẹ̀ ìṣàyẹ̀wò ní àwọn ìwífún pàtàkì, tí ó ń fi gbogbo àṣẹ tí ó ní í ṣe pẹ̀lú iṣẹ́ náà hàn. Ìwọ̀lé tí a kò ní èrò yìí fún àwọn olùkọlù ní agbára láti ṣe àwòkọ àkọọ́lẹ̀ ìkọ́lé ìkùukùu, nípa bẹ́ẹ̀ ó ń gba ìmọ̀ nípa àwọn ìgbésẹ̀ tí àwọn àkọọ́lẹ̀ Google ọ̀tọ̀ọ̀tọ̀ lè ṣe. Nítorí náà, èyí ṣí ìlẹ̀kùn sí ìṣípopo ẹ̀gbẹ́ àti ìdàgbàsókè àǹfààní, tí ó ń fi ewu ààbò tí ó léwu gidigidi hàn.
Ṣíṣe àkọọ́lẹ̀ iṣẹ́ ìkọ́lé nìkan ló nílò cloudbuild.builds.create àṣẹ, èyí tí ọ̀pọ̀lọpọ̀ ipa tí a ti sọ tẹ́lẹ̀ ní, àti èyí tí a fún àwọn olùgbékalẹ̀ ní gbogbo ọ̀nà tí ó bá yẹ. CI/CD ayika nipa lilo Cloud Build. Nitorinaa ti o ba ni iwọle si ọkan ninu awọn akọọlẹ oluṣeto iru bẹẹ, ṣiṣẹda faili iṣeto ikole ti a ṣe deede yoo ṣiṣẹ gangan àṣẹ kíkà ìforúkọsílẹ̀ gcloud, èyí tí yóò ṣe àkójọ àwọn àṣẹ náà.
Ṣugbọn iṣoro naa ko duro nibi: Àkọọ́lẹ̀ iṣẹ́ Google Cloud Build jẹ́ àǹfààní ńlá, pẹ̀lú ọ̀pọ̀lọpọ̀ ìgbésẹ̀ fún ìbáṣepọ̀ pẹ̀lú Àkójọ Ohun-ìní Goggle.
Nípa lílo àìlera tó ń mú kí wọ́n ṣe àgbékalẹ̀ àkọọ́lẹ̀ iṣẹ́ Cloud Build àìṣeédá, àwọn olùṣe búburú ní agbára láti yí àwọn àwòrán tí wọ́n tọ́jú sínú Artifact Registry Google padà nípa fífi kódì búburú sí i. Nítorí náà, gbogbo àwọn ohun èlò tí a kọ́ láti inú àwọn àwòrán tí wọ́n ti bàjẹ́ yìí lè ní àbájáde tó lè ṣẹlẹ̀, títí bí ìkọlù Denial-of-Service (DoS), jíjí dátà, àti ìtànkálẹ̀ malware.
Ìṣòro náà máa ń pọ̀ sí i nígbà tí àwọn ohun èlò tí a ṣẹ̀dá wọ̀nyí bá jẹ́ fún ìlò ní àyíká àwọn oníbàárà, bóyá on-premise tàbí ìdámẹ́rin SaaS. Èyí ń fa ewu náà gbòòrò ju ètò ìpèsè ilé-iṣẹ́ lọ, èyí sì ń yọrí sí ìkọlù ẹ̀wọ̀n ìpèsè tí ó ń wọ inú àyíká àwọn oníbàárà tí ó sì ń ba àyíká wọn jẹ́. Irú àwọn ìkọlù bẹ́ẹ̀ jọ àwọn ìṣẹ̀lẹ̀ tí a ti rí tẹ́lẹ̀ nínú ìrúfin ẹ̀wọ̀n ìpèsè sọ́fítíwè, bíi ìrúfin SolarWinds. Àwọn àbájáde irú ìkọlù bẹ́ẹ̀ lè le koko, ó ń fa ìpalára gbígbòòrò àti nípa lórí ọ̀pọ̀ àwọn àjọ nínú ẹ̀wọ̀n ìpèsè.
Iru anfaani yii kan naa ni PoC ti o n mu ilọsiwaju naa wa nipasẹ Agbanrere Aabo Labs, èyí tí ó lo àǹfààní àṣejù ti àkọọ́lẹ̀ Cloud Build àìṣeéyípadà ní ọ̀nà mìíràn.
Kini idi ti o lewu?
Bí ìṣòro yìí ṣe le tó ni agbára rẹ̀ fún àwọn olùkọlù láti lo Àkójọ Ohun-ìṣẹ̀dá àti láti fi àmì-ẹ̀rọ-ìbàjẹ́ sínú àwọn ohun-ìṣẹ̀dá. Nítorí náà, gbogbo àwọn ohun èlò tí a kọ́ láti inú àwọn àwòrán tí a ti bàjẹ́ wọ̀nyí di èyí tí ó lè fa onírúurú àbájáde búburú.
Àwọn ipa wọ̀nyí ní ìṣeéṣe kí àwọn ìkọlù Denial-of-Service, olè jíjí dátà, àti ìtànkálẹ̀ malware. Jù bẹ́ẹ̀ lọ, tí a bá fi àwọn ohun èlò ìfọ̀rọ̀wérọ̀ wọ̀nyí sílò lẹ́yìn náà. on-premise tàbí ní àyíká SaaS díẹ̀, ewu náà kọjá àjọ tí ó jẹ́ olùfarapa láti ní ipa lórí àwọn oníbàárà wọn pẹ̀lú. Ìṣẹ̀lẹ̀ yìí jọ ìkọlù pọ́ọ̀npù ìpèsè tí a rí nínú ìṣẹ̀lẹ̀ SolarWinds, tí ó ń fi àwọn àbájáde tí ó ṣeéṣe hàn fún àjọ náà àti àwọn oníbàárà rẹ̀.
-
Ìdámọ̀ràn Xygeni
Lo ìlànà ti Least Privilege
- Sensọ Xygeni ń ṣe àkíyèsí ìgbésẹ̀ olùlò nínú àwọn ètò tí a ti gbé e kalẹ̀, ó sì ń pín wọn pẹ̀lú ìpìlẹ̀ pàtàkì wa, èyí tí ó ń ṣàfihàn ìwà àìdára tàbí ìyàtọ̀ láti inú àwọn ìlànà déédé, bí àìdára login àkókò tàbí ibi tí a wà, àwọn ìgbésẹ̀ dátà ńlá, tàbí àwọn àyípadà nínú ẹ̀tọ́ ìwọlé olùlò tí kò sí ní ìwọ̀n ìwà olùlò tí a ṣe àwòṣe rẹ̀.
Àwọn ìlànà àti àyẹ̀wò Xygeni ń lo àwọn ìlànà tó dára jùlọ nínú àwọn ìṣàkóso ìwọlé, àwọn ìbéèrè ìfàmìsí onípele púpọ̀, àti àwọn ohun èlò ìyọ̀nda tó dá lórí ipa láti dínà ìwọ̀lé sí àwọn ètò àti dátà pàtàkì.
Àwọn irinṣẹ́ wọ̀nyí ń ṣe àkíyèsí ìgbésẹ̀ olùlò, bí àyípadà kódì, wíwọlé sí ètò, tàbí gbígbé dátà, wọ́n sì ń fi wọ́n wéra pẹ̀lú àwọn ìlànà àti ìlànà ìwà tí a ti sọ tẹ́lẹ̀. Wọ́n tún ń tọ́ka sí àwọn ìgbòkègbodò tí a fura sí, bí ìwọlé tí a kò fún ní àṣẹ, àwọn àǹfààní tí ó pọ̀ jù, tàbí àwọn ìlànà ìgbésẹ̀ dátà tí kò wọ́pọ̀.
Báwo ni wọ́n ṣe bójútó àrùn náà
Nígbà tí wọ́n fi tó Ẹgbẹ́ Ààbò Google létí nípa àìlera náà, wọ́n gbé ìgbésẹ̀ nípa yíyọ àṣẹ logging.privateLogEntries.list kúrò nínú àkọọ́lẹ̀ iṣẹ́ Cloud Build àìyípadà. Wọ́n gbà pé bó tilẹ̀ jẹ́ pé àwọn àkọsílẹ̀ àyẹ̀wò setIamPolicy ṣe pàtàkì fún ète àyẹ̀wò, fífún àwọn àkọsílẹ̀ wọ̀nyí láyè láti ojú ìwòye àkọọ́lẹ̀ iṣẹ́ cloud build kò pọndandan.
Sibẹsibẹ, o ṣe pataki lati loye pe idahun yii ko koju ipalara gbongbo ninu Iforukọsilẹ Artifact taara. Nitori naa, vector igbesoke anfani ati eewu ti o ṣeeṣe ti ikọlu pq ipese ko ni ipa lori. Ni pataki, atunṣe Google dinku iṣoro naa ṣugbọn ko mu u kuro patapata, ti o fi awọn ajọ silẹ si awọn eewu pq ipese sọfitiwia pataki.
Ní ìdáhùn sí ipò náà, Google gba àwọn oníbàárà rẹ̀ nímọ̀ràn láti yí àwọn àṣẹ ti Àkọọ́lẹ̀ Ìṣiṣẹ́ Ìkọ́lé Aláìgbédè padà nípa yíyọ àwọn ìwé ẹ̀rí ẹ̀tọ́ tí ó yàtọ̀ sí Ìlànà Ìpìlẹ̀ ti Àǹfààní Kékeré (PoLP). Ìgbésẹ̀ yìí ń fẹ́ láti mú ààbò pọ̀ sí i nípa rírí i dájú pé àwọn àkọọ́lẹ̀ ní àwọn àǹfààní tí ó kéré jùlọ láti ṣe àwọn iṣẹ́ tí wọ́n fẹ́ ṣe.
Láti gbèjà lòdì sí ìkọlù ìgbéga àǹfààní yìí, ó ṣe pàtàkì láti dín àwọn àṣẹ tí a fún ní Àkọọ́lẹ̀ Ìṣiṣẹ́ Ìṣiṣẹ́ Ìkùukùu kù àti láti ṣọ́ra láti fún ní àṣẹ láti fún ní àṣẹ cloudbuild.builds.create àṣẹ fún àwọn olùlò èyíkéyìí nínú àjọ rẹ. Èyí tó ṣe pàtàkì jùlọ ni pé, o gbọ́dọ̀ mọ̀ pé olùlò èyíkéyìí tí wọ́n bá fún ní àṣẹ cloudbuild.builds.create, ni a tun fun ni gbogbo awọn igbanilaaye ti a fun ni Akọọlẹ Iṣẹ Kọọdi awọsanma ni ọna aiṣe-taara. Ti iyẹn ba dara fun ọ, lẹhinna o le ma nilo lati ṣe aniyan nipa fekito ikọlu yii, ṣugbọn o tun ni imọran pupọ lati ṣe atunṣe awọn igbanilaaye aiyipada ti a fun ni Akọọlẹ Iṣẹ Kọọdi awọsanma.
Google ṣeduro eyi ni ṣoki, ṣùgbọ́n kò fúnni ní àwọn àlàyé síwájú sí i:
“Tí o kò bá gbèrò láti ṣe ìgbésẹ̀ kan gẹ́gẹ́ bí ara ìlànà ìkọ́lé, a gba ọ nímọ̀ràn pé kí o fagilé àṣẹ tí ó báramu láti inú àkọọ́lẹ̀ iṣẹ́ Cloud Build láti tẹ̀lé ìlànà ààbò ti àǹfààní tí ó kéré jùlọ.”
Ago
Àwọn Rhino Security Labs fi ọ̀rọ̀ nípa ìdàgbàsókè àǹfààní náà ránṣẹ́, wọ́n sì ṣẹ̀dá ìwé-àfọwọ́kọ python PoC * fún un.
Orca Security royin awari won fun egbe aabo Google.
Google ṣe ìwádìí kan ó sì ṣe àtúnṣe díẹ̀ ní ìdáhùn.
Sibẹsibẹ, o ṣe pataki lati ṣe akiyesi pe atunṣe Google ko mu gbogbo awọn ohun elo ti a rii lati ọdọ Privilege Escalation (PE) kuro patapata. Dipo, o dinku ipa rẹ, o si yi i pada si abawọn apẹrẹ ti o tun n ṣafihan awọn ajọ si ewu gbooro ti ikọlu pq ipese. Nitori naa, awọn igbese afikun jẹ pataki fun awọn ẹgbẹ aabo lati daabobo lodi si ewu ti o wa titi yii.
ipari
Àwọn àǹfàní tó pọ̀ jù tí a fún àkọọ́lẹ̀ Google Cloud Build àìṣeédá lè jẹ́ kí àwọn ọ̀tá lo agbára wọn láti gbé ìkọlù sókè nípa lílo àkọọ́lẹ̀ olùgbéjáde tí ó fúnni láyè láti ṣẹ̀dá ìkọ́lé àwọsánmà. Àwọn olùkọlù lè yọ àwòrán àpótí kan kúrò, kí wọ́n fi ìwà búburú ṣe é, lẹ́yìn náà kí wọ́n tì í sí ibi ìforúkọsílẹ̀ Artifact, nínú ìkọlù pọ́ọ̀npútà ìpèsè sọ́fítíwè tí ó lè ní àwọn àbájáde búburú.
Ìdáhùn Google fi iṣẹ́ ìdínkù sílẹ̀ fún àwọn àjọ tí ń lo iṣẹ́ Cloud Build, tí wọ́n nílò láti fagilé àǹfààní láti ṣàkóso ewu náà. Ẹnìkan lè béèrè lọ́wọ́ Google láti fúnni ní ìrànlọ́wọ́ àfikún ní ọjọ́ iwájú fún bíbójútó àwọn ọ̀ràn ààbò pẹ̀lú wọn. CI/CD eto.
jo
- Ṣiṣẹ́-Bí a ṣe fẹ́: Ìgbéga Àǹfààní RCE sí IAM nínú GCP Cloud BuildÀwọn Ilé Ìwádìí Ààbò Àgbáyé.
- Àìlera.Build: Àwọn Ìpalára PE & RCE nínú Google Cloud BuildÀàbò Orca.
- Ìwé Ìròyìn Ààbò. Àwọsánmà Google.
Mọ diẹ sii nipa Syeed Xygeni, ṣe igbasilẹ iwe data Syeed Xygeni
