Phát hiện hai lỗ hổng nghiêm trọng trong Cơ sở dữ liệu PostgreSQL của Alibaba Cloud

Nhóm hai lỗ hổng nghiêm trọng đã được tìm thấy trong ApsaraDB RDS cho PostgreSQL và AnalyticDB cho PostgreSQL của Alibaba Cloud. Các lỗ hổng này có thể bị khai thác để vi phạm các cơ chế bảo vệ cách ly đối tượng thuê và truy cập dữ liệu nhạy cảm của các khách hàng khác.

Công ty bảo mật cloud Wiz cho biết "các lỗ hổng có khả năng cho phép truy cập trái phép vào cơ sở dữ liệu (CSDL) PostgreSQL của khách hàng Alibaba Cloud và thực hiện tấn công chuỗi cung ứng, dẫn đến thực thi mã từ xa (RCE) trên các dịch vụ CSDL của Alibaba".

Các vấn đề, được đặt tên là BrokenSesame, đã được báo cáo cho Alibaba Cloud vào tháng 12 năm 2022, công ty sau đó đã triển khai các biện pháp giảm thiểu vào ngày 12 tháng 4 năm nay. Không có bằng chứng nào cho thấy các lỗ hổng đã bị khai thác trong thực tế.

Hai lỗ hổng - gồm lỗ hổng leo thang đặc quyền trong AnalyticDB và lỗi thực thi mã từ xa trong ApsaraDB RDS - cho phép kẻ tấn công giành được quyền root trong container, thoát khỏi node Kubernetes và cuối cùng có được quyền truy cập trái phép vào API máy chủ.

Khai thác thành công các lỗ hổng, kẻ tấn công có thể truy xuất thông tin xác thực được liên kết với container registry từ máy chủ API và tải các image độc hại để giành quyền kiểm soát CSDL khách hàng thuộc về những người thuê khác trên cùng nút mạng.

Nhà nghiên cứu Ronen Shustin và Shir Tamari của Wiz cho biết: “Thông tin đăng nhập được sử dụng để tải lên (push) hình ảnh độc hại và cho phép nâng quyền, tạo điều kiện cho một cuộc tấn công chuỗi cung ứng”.

Đây không phải lần đầu tiên các lỗ hổng PostgreSQL được xác định trong các dịch vụ cloud. Năm ngoái, Wiz đã phát hiện ra các sự cố tương tự trong CSDL Azure cho Máy chủ PostgreSQL Flexible (ExtraReplica) và CSDL cloud của IBM cho PostgreSQL (Hell's Keychain).

Phát hiện này được đưa ra khi Palo Alto Networks Unit 42 tiết lộ trong Báo cáo mối đe dọa cloud rằng "các tác nhân đe dọa ngày càng thông thạo trong việc khai thác các vấn đề phổ biến thường gặp trong môi trường cloud", bao gồm cấu hình sai, thông tin xác thực yếu, thiếu xác thực, lỗ hổng chưa được vá và các phần mềm độc hại mã nguồn mở (OSS).

Unit 42 cho biết "76% các tổ chức không bắt buộc triển khai xác thực đa yếu tố (MFA) cho người dùng bảng điều khiển (console), và 58% tổ chức không bắt buộc triển khai MFA cho người dùng root/quản trị viên".

Nguồn: thehackernews.com.