每日热门:阿里云数据库曝出两个严重漏洞,全球公有云漏洞层出不穷
前情回顾·全球公有云漏洞频发
亚马逊云曝出“超级漏洞”,攻击者可删除任何镜像
(资料图)
微软云服务爆容器逃逸漏洞,攻击者可接管Linux集群
微软修复Azure云严重漏洞,可用于泄露客户数据
云数据库严重漏洞或泄露密钥,微软警告数千客户抓紧处置
亚马逊/谷歌DNS托管服务爆严重漏洞,可窃取企业内网敏感信息
注:本文报道的漏洞已得到修复或缓解。
安全内参4月21日消息,阿里云数据库ApsaraDB RDS for PostgreSQL 和 AnalyticDB for PostgreSQL曝出一组两个严重漏洞,可用于突破租户隔离保护机制,访问其他客户的敏感数据。
美国云安全公司Wiz发布报告称,“这些漏洞可能允许对阿里云客户的PostgreSQL数据库进行未经授权访问,并对阿里巴巴的这两项数据库服务开展供应链攻击,从而实现对阿里巴巴数据库服务的远程命令执行(RCE)攻击。”
这组漏洞被命名为BrokenSesame,在2022年12月被上报给阿里巴巴,阿里云于2023年4月12日部署了缓解措施。尚无证据表明这些漏洞曾遭到野外利用。
简而言之,此次发现的漏洞分别为AnalyticDB权限提升漏洞和ApsaraDB RDS远程代码执行漏洞,能够在容器内将权限提升为root,逃逸至底层Kubernetes节点,最终实现对API服务器的未授权访问。
利用这条利用链,恶意黑客能够从API服务器中检索到与容器注册表相关的凭证,推送恶意镜像以控制共享节点上属于其他租户的客户数据库。
Wiz公司研究员Ronen SHustin与Shir Tamari表示,“用于拉取镜像的凭证未被正确限定范围且允许推送权限,这为供应链攻击埋下了隐患。”
这已经不是第一次在云服务中发现PostgreSQL漏洞。去年,Wiz公司曾在微软Azure Database for PostgreSQL Flexible Server和IBM Cloud Databases for PostgreSQL中发现过类似的问题。
Palo Alto Networks安全研究团队Unit 42在云威胁报告中表示,“恶意黑客越来越善于利用云上的常见安全问题”,包括错误配置、凭证强度过低、缺乏身份验证、未修复漏洞和恶意开源软件包等。
“76%的组织未能对控制台用户实施多因素身份验证(MFA),58%的组织未能对具有root/admin权限的用户实施多因素身份验证。”
参考资料:thehackernews.com