Theia, Vertex AI, Compute Engine ve Cloud Workstations’ta ortaya çıkarılan hatalar için altı ödeme yapıldı
Dört Google Cloud Platform (GCP) projesindeki güvenlik açıkları, bir çift güvenlik araştırmacısına 22.000 dolardan fazla hata ödülü kazandırdı.
Hacker ikilisi için en kazançlı proje Sreeram KL ve Sivanesh Ashok bir sunucu tarafı istek sahteciliği (SSRF) hatası ve müteakip yama atlaması için onlara bir çift 5.000 $’lık ödeme sağlayan makine öğrenimi eğitim ve dağıtım platformu Vertex AI idi.
Sreeram tarafından bir blog gönderisinde belgelenen kusur, Vertex AI’nın bulut üzerinde Jupyter not defteri tabanlı geliştirme ortamlarının oluşturulmasını sağlayan çalışma ekranı özelliğinde bulunuyordu.
Saldırganlar, SSRF güvenlik açığını kötüye kullanarak ve kurbanları kötü amaçlı bir URL’yi tıklamaları için kandırarak potansiyel olarak bir yetkilendirme belirtecinin kontrolünü ve ardından aşağıdaki videoda gösterildiği gibi kurbanın tüm GCP projelerini ele geçirebilir.
SSRF hatası
Sreeram, araştırmacılar SSRF için kapsam sunuyor gibi görünen bir URL bulduklarında, “orijinal URL’nin istenmesi, compute.googleapis.com’a gönderilen kimliği doğrulanmış bir isteğin çıktısına benzeyen bir yanıtla sonuçlandı” dedi. “Önceki deneyimlerimden, bu uç noktaların kimlik bilgileri için yetkilendirme başlığını kullandığını biliyorum.”
Fuzzing, bu kontrolü atlayan bir URL’yi (https://{INSTANCE-ID}-dot-us-central1.notebooks.googleusercontent.com/aipn/v2/proxy/{attacker.com}/compute.googleapis.com/) ortaya çıkardı. , dedi Sreeram. Sreeram, “Ayrıca, savunmasız uç nokta, CSRF koruması olmayan bir talepti (oldukça yaygın),” dedi.
BUNLARI DA SEVEBİLİRSİNİZ ABD hükümeti üçüncü Hack The Pentagon yarışmasını duyurdu
Saldırı hedeflerinin bulunmasına gelince, bir kurbanın alt alan adı, “genel uygulama akışındaki yönlendirici aracılığıyla” github.com gibi birkaç üçüncü taraf alan adına sızdırıldığı için kolayca tespit edilebilir.
Google, uç noktalara siteler arası istek sahteciliği (CSRF) koruması ekleyerek ve alan doğrulamasını iyileştirerek bu sorunu ele aldı.
yama atlama
Ancak düzeltme kullanıma sunulduktan sonra Sreeram ve Ashok, compute.googleapis.com’u bir şey.google.com olarak değiştirmenin daha önce olduğu gibi bir hatayı tetikleyemediğini fark etti.
Bu nedenle, düzeltmeyi atlatmanın *.google.com’da açık bir yeniden yönlendirmeye ihtiyaç duyduğunu tahmin ettiler.
JavaScript tabanlı yeniden yönlendirmeler bir seçenek olmadığından – sunucu dili ayrıştırmadığı için – Google web besleme yönetimi hizmeti FeedBurner’a yöneldiler. Araştırmacılar, kullanıcı proxy’yi devre dışı bıraktığında, hizmetin RSS beslemelerini proxy’lemek yerine URL’leri etki alanlarına yönlendireceğini buldu.
İstismar, 2020’de “@s1r1us” tarafından Jupyter Lab’ı hedefleyen bir teknikten yararlanan bir CSRF atlaması ile sonuçlandı.
İkinci düzeltme, bir proxy URL’si olarak *.google.com desteğini sonlandırmayı içeriyordu.
Sreeram, “Bu sorunu bulurken, yönetilen GCP ürünlerinin işleyişi hakkında bilgi edindik ve bu da GCP’deki diğer hataları bulmamıza yardımcı oldu” dedi. günlük yudum.
Theia, Compute Engine, İş İstasyonları hataları
Buna, Sreeram tarafından yayınlanan ayrı bir blog gönderisinde açıklandığı gibi, Google’ın Cloud Shell’de kullandığı entegre geliştirme ortamı (IDE) olan Theia’daki çalışma ortamı özelliğinden yeniden yararlanma da dahildir.
Kullanıcı tarafından yönetilen bulut sunucuları, projenin varsayılan bilgi işlem motoru hizmet hesabını kullandığından, araştırma ikilisi, hizmet hesabı belirtecini meta veri sunucusundan almak için bilinen bir XSS güvenlik açığından (CVE-2021-41038) yararlanarak tüm projeyi tehlikeye atmayı başardı. Bu, çifte 3133,70 dolarlık bir ödül daha kazandırdı.
En son bug bounty haberlerini takip edin
Ashok tarafından belgelendiği üzere GCP’de buldukları ilk güvenlik açığı, Google Cloud’un Compute Engine’deki bir SSH anahtar yerleştirme sorunuydu.
1.000 ABD Doları ödül bonusu ile 5.000 ABD Doları kazanç sağlayan güvenlik açığı, tarayıcıda SSH işlevinde bulunuyordu ve bir kurbanın Compute Engine örneğinde uzaktan kod yürütülmesine (RCE) yol açabilir (yukarıdaki kavram kanıtı videosunda gösterildiği gibi) .
Araştırmacılar ayrıca, güvenlik açısından hassas kuruluşlar için tam olarak yönetilen geliştirme ortamları sağlayan Bulut İş İstasyonlarında bir yetkilendirme atlaması için 3.133,70 dolar daha kazandı. Ashok, bu bulguyu dördüncü bir blog gönderisinde özetledi.
Parite, altı ayrı hata ödülü ödemesinden toplam 22.267 $ kazandı.
günlük yudum Google’ı bu güvenlik açıkları hakkında yorum yapmaya davet etti, ancak henüz yanıt gelmedi. Bu değişirse makaleyi güncelleyeceğiz.
OKUMAYI UNUTMAYIN CircleCI’yi Kareleme: DevOps platformu, son ihlalle ilgili otopsi yayınlıyor