Microsoft ve Google’dan gelenler de dahil olmak üzere çeşitli PostgreSQL-as-a-Service tekliflerinde keşfedilen kusurlar
Wiz Research, bulut satıcılarının kendileri tarafından sunulan çeşitli bulut satıcılarının popüler ‘Hizmet olarak PostgreSQL’ tekliflerinde güvenlik açıkları buldu.
Bu yılın başlarında, güvenlik ekibi PostgreSQL Esnek Sunucu için Microsoft Azure Veritabanında bir dizi kritik güvenlik açığı keşfetti.
#ExtraReplica adlı istismar, kiracı izolasyonunu atlayarak diğer müşterilerin PostgreSQL veritabanlarına yetkisiz okuma erişimine izin verdi.
Wiz araştırma başkanı Shir Tamari, “İzolasyon mükemmel değildi ve yönetilen örneğimizden diğer müşterilerin örneklerine ağ erişimimiz vardı, bu da diğer olası güvenlik açıkları için bir saldırı yüzeyi açtı” diyor. Günlük Swig.
“Bu saldırı yüzeyinden yararlanmanın mümkün olduğunu kanıtladık ve diğer müşterilerin veritabanlarına tam okuma erişimi kazandık.”
Onlarca yıllık böcek
Wiz, benzer bir güvenlik açığının Google Cloud Platform’u (GCP) etkilediğini, ancak daha az ciddi potansiyel etkileri olduğunu ortaya çıkardı.
25 yıl öncesine dayanan PostgreSQL, yönetilen bir hizmet için uygun bir izin modelinden yoksundur ve bu da satıcıların kendi kodlarını eklemesine neden olur.
KAÇIRMAYIN Black Hat ABD’de sergilenen yeni HTTP istek kaçakçılığı saldırıları sınıfı
Tamari, “Postgres’i yönetilen bir hizmete dönüştürürken, bulut hizmeti sağlayıcıları, tehlikeli olarak kabul edilen bazı yeteneklere izin vererek hizmetlerini riske atmadan kullanıcılara süper kullanıcı ayrıcalıkları sağlamak istedi” diyor.
“PostgreSQL’in izin modeli, bir kullanıcıya yalnızca bir dizi süper kullanıcı ayrıcalığı sağlayamaz. Bu nedenle, bulut satıcıları, normal kullanıcılara bir dizi süper kullanıcı becerisine izin vermek için değişiklikler yapmak zorunda kaldı. “
Bu değişiklikler, ekibin, birden çok PostgreSQL-as-a-Service teklifinin satıcı tarafından yönetilen bilgi işlem örneklerinde rasgele komutlar yürütmesine olanak tanır – aşırı durumlarda, etkilenen hizmeti kullanan diğer müşterilere yetkisiz kiracılar arası veri erişimi elde eder.
Düzinelerce düzeltme
Cloud SQL durumunda, ekip süper kullanıcı statüsü kazanamasa da bazı ayrıcalıklarına erişmek mümkün oldu. Biri, bir tablonun sahipliğini veritabanındaki herhangi bir kullanıcı veya role keyfi olarak değiştirme yeteneğiydi.
Bu, ekibin yapay içeriğe sahip bir tablo oluşturabileceği, kod yürütme yüküyle birlikte kötü amaçlı bir dizin işlevi oluşturabileceği ve ardından tablo sahibini GCP’nin süper kullanıcı rolü olarak değiştirebileceği anlamına geliyordu. veri tabanı.
Tabloyu analiz etmek daha sonra PostgreSQL motorunu kullanıcı bağlamını tablonun sahibine değiştirmeye zorladı ve izinlerle kötü niyetli dizin işlevini çağırarak kabuk komutunun yürütülmesine neden oldu.
“Araştırma sırasında, keşfettiğimiz sorunları doğrulamak ve düzeltmek için bir düzineden fazla PostgreSQL tedarikçisiyle çalıştık. Pek çok bulut sağlayıcısının PostgreSQL’i yönetilen bir hizmet olarak ayarlamak için aynı değişiklikleri yaptığı ve bu nedenle potansiyel olarak savunmasız olduğu ortaya çıktı” diyor Tamari.
“Geniş bir sorumlu açıklama sürecinin parçası olarak, tespit ettiğimiz sorunlara maruz kalıp kalmadıklarını belirlemelerine yardımcı olmak için bulgularımızı büyük bulut sağlayıcıları ve diğerleriyle paylaştık.”
BUNU DA BEĞENEBİLİRSİN Almanya, hükümette web tarayıcıları için minimum güvenlik standartlarını zorunlu kılacak