Kubernetes RBAC được cấu hình sai trong Azure Airflow có thể khiến toàn bộ cụm bị khai thác
Các nhà nghiên cứu an ninh mạng đã phát hiện ra ba điểm yếu bảo mật trong tích hợp Apache Airflow của Azure Data Factory của Microsoft , nếu khai thác thành công, có thể cho phép kẻ tấn công thực hiện nhiều hành động bí mật khác nhau, bao gồm đánh cắp dữ liệu và triển khai phần mềm độc hại.
Palo Alto Networks Unit 42 cho biết trong một phân tích được công bố đầu tháng này: "Việc khai thác những lỗ hổng này có thể cho phép kẻ tấn công có được quyền truy cập liên tục với tư cách là quản trị viên ẩn trên toàn bộ cụm Airflow Azure Kubernetes Service (AKS)" .
Các lỗ hổng bảo mật, mặc dù được Microsoft phân loại là có mức độ nghiêm trọng thấp, được liệt kê dưới đây -
- Kubernetes RBAC không được cấu hình đúng trong cụm Airflow
- Xử lý bí mật được cấu hình sai của dịch vụ Geneva nội bộ của Azure và
- Xác thực yếu cho Geneva
Ngoài việc có được quyền truy cập trái phép, kẻ tấn công có thể lợi dụng các lỗ hổng trong dịch vụ Geneva để can thiệp vào dữ liệu nhật ký hoặc gửi nhật ký giả nhằm tránh gây nghi ngờ khi tạo nhóm hoặc tài khoản mới.
Kỹ thuật truy cập ban đầu bao gồm việc tạo tệp đồ thị không tuần hoàn có hướng ( DAG ) và tải tệp đó lên kho lưu trữ GitHub riêng được kết nối với cụm Airflow hoặc thay đổi tệp DAG hiện có. Mục tiêu cuối cùng là khởi chạy shell ngược lên máy chủ bên ngoài ngay khi được nhập.
Để thực hiện điều này, trước tiên, tác nhân đe dọa sẽ phải có được quyền ghi vào tài khoản lưu trữ chứa các tệp DAG bằng cách sử dụng một nguyên tắc dịch vụ bị xâm phạm hoặc mã thông báo chữ ký truy cập được chia sẻ (SAS) cho các tệp. Ngoài ra, chúng có thể đột nhập vào kho lưu trữ Git bằng thông tin xác thực bị rò rỉ.
Mặc dù shell thu được theo cách này được phát hiện đang chạy trong ngữ cảnh của người dùng Airflow trong pod Kubernetes với quyền tối thiểu, nhưng khi phân tích sâu hơn, người ta đã xác định được một tài khoản dịch vụ có quyền quản trị cụm được kết nối với pod chạy Airflow.
Cấu hình sai này, cùng với thực tế là pod có thể truy cập qua Internet, có nghĩa là kẻ tấn công có thể tải xuống công cụ dòng lệnh Kubernetes kubectl và cuối cùng chiếm toàn quyền kiểm soát toàn bộ cụm bằng cách "triển khai một pod đặc quyền và xâm nhập vào nút cơ sở".
Kẻ tấn công sau đó có thể tận dụng quyền truy cập gốc vào máy ảo (VM) lưu trữ để xâm nhập sâu hơn vào môi trường đám mây, giành quyền truy cập trái phép vào các tài nguyên nội bộ do Azure quản lý, bao gồm Geneva, một số trong đó cấp quyền ghi vào tài khoản lưu trữ và trung tâm sự kiện.
"Điều này có nghĩa là một kẻ tấn công tinh vi có thể sửa đổi môi trường Airflow dễ bị tấn công", các nhà nghiên cứu bảo mật Ofir Balassiano và David Orlovsky cho biết. "Ví dụ, kẻ tấn công có thể tạo các pod mới và các tài khoản dịch vụ mới. Chúng cũng có thể áp dụng các thay đổi cho chính các nút cụm và sau đó gửi nhật ký giả đến Geneva mà không gây báo động".
"Vấn đề này nhấn mạnh tầm quan trọng của việc quản lý cẩn thận các quyền dịch vụ để ngăn chặn truy cập trái phép. Vấn đề này cũng nhấn mạnh tầm quan trọng của việc giám sát hoạt động của các dịch vụ quan trọng của bên thứ ba để ngăn chặn truy cập như vậy."
Việc tiết lộ này được đưa ra khi Datadog Security Labs nêu chi tiết một kịch bản leo thang đặc quyền trong Azure Key Vault có thể cho phép người dùng có vai trò Key Vault Contributor đọc hoặc sửa đổi nội dung của Key Vault, chẳng hạn như khóa API, mật khẩu, chứng chỉ xác thực và mã thông báo Azure Storage SAS.
Vấn đề là trong khi người dùng có vai trò Người đóng góp cho Key Vault không có quyền truy cập trực tiếp vào dữ liệu Key Vault qua key vault được cấu hình bằng chính sách truy cập, thì người ta phát hiện ra rằng vai trò này có quyền tự thêm mình vào chính sách truy cập Key Vault và truy cập dữ liệu Key Vault, do đó bỏ qua được hạn chế này.
"Bản cập nhật chính sách có thể bao gồm khả năng liệt kê, xem, cập nhật và quản lý chung dữ liệu trong kho lưu trữ khóa", nhà nghiên cứu bảo mật Katie Knowles cho biết . "Điều này tạo ra một kịch bản mà người dùng có vai trò Người đóng góp khóa có thể truy cập vào tất cả dữ liệu khóa, mặc dù không có quyền \[Kiểm soát truy cập dựa trên vai trò\] để quản lý quyền hoặc xem dữ liệu".
Kể từ đó, Microsoft đã cập nhật tài liệu của mình để nhấn mạnh đến rủi ro về chính sách truy cập, nêu rõ: "Để ngăn chặn việc truy cập và quản lý trái phép các kho khóa, khóa, bí mật và chứng chỉ của bạn, điều cần thiết là phải hạn chế quyền truy cập của vai trò Người đóng góp vào kho khóa theo mô hình cấp phép Chính sách truy cập".
Sự phát triển này cũng diễn ra sau khi phát hiện ra một vấn đề với nhật ký Amazon Bedrock CloudTrail khiến việc phân biệt các truy vấn độc hại với các truy vấn hợp pháp được thực hiện trên các mô hình ngôn ngữ lớn (LLM) trở nên khó khăn, do đó cho phép kẻ xấu tiến hành do thám mà không đưa ra bất kỳ cảnh báo nào.
"Cụ thể, các cuộc gọi API Bedrock không thành công đã được ghi lại theo cùng cách như các cuộc gọi thành công, mà không cung cấp bất kỳ mã lỗi cụ thể nào", nhà nghiên cứu Alessandro Brucato của Sysdig cho biết .
"Việc thiếu thông tin lỗi trong phản hồi API có thể cản trở nỗ lực phát hiện bằng cách tạo ra các kết quả dương tính giả trong nhật ký CloudTrail. Nếu không có thông tin chi tiết này, các công cụ bảo mật có thể hiểu sai hoạt động bình thường là đáng ngờ, dẫn đến các cảnh báo không cần thiết và khả năng giám sát các mối đe dọa thực sự."