Um pioneiro em segurança nativa da nuvem descobriu milhares de registros expostos e repositórios de artefatos contendo mais de 250 milhões de artefatos e mais de 65.000 imagens de contêiner.
Muitos desses artefatos e imagens continham códigos proprietários altamente confidenciais e sensíveis e "segredos". A equipe de pesquisadores de segurança de TI da Aqua, Team Nautilus, descobriu configurações incorretas que colocam milhares de empresas de todos os tamanhos em risco em todo o mundo - incluindo cinco da Fortune 500 e dois grandes fornecedores de segurança de TI. Na IBM, por exemplo, um registro de contêiner interno foi exposto à Internet: depois que os pesquisadores da Nautilus informaram a equipe de segurança local, o acesso à Internet a esses ambientes foi fechado e os riscos minimizados. A Aqua informou as equipes de segurança de empresas potencialmente afetadas, incluindo Alibaba e Cisco.
cadeia de suprimentos de software
Registros e sistemas de gerenciamento de artefatos são elementos críticos na cadeia de suprimentos de software, tornando-os um dos principais alvos dos cibercriminosos. Muitas empresas abrem seus registros de contêineres e artefatos para o mundo exterior de propósito. No entanto, às vezes eles desconhecem os perigos ou não conseguem controlar informações confidenciais e os chamados segredos. Se os invasores conseguirem acessá-lo, poderão explorar toda a cadeia de ferramentas do ciclo de vida de desenvolvimento de software e os artefatos armazenados nela.
Especificamente, a Aqua descobriu mais de 250 milhões de artefatos e mais de 65.000 imagens de contêineres expostas — em milhares de imagens de contêineres mal configuradas, registros de imagens de contêineres ("Red Hat Quay") e registros de artefatos ("JFrog Artifactory" e "Sonatype nexus").
A investigação também descobriu que, em alguns casos, as empresas falharam em proteger adequadamente os ambientes altamente críticos. Em outros casos, informações confidenciais entraram em áreas de código aberto, deixando esses ambientes expostos à Internet e vulneráveis a ataques. Isso pode levar a ataques graves.
resultados da investigação
- Os pesquisadores de segurança encontrou chaves confidenciais (incluindo segredos, credenciais ou tokens) em 1.400 hosts diferentes - bem como endereços privados confidenciais de endpoints (como Redis, MongoDB, PostgreSQL ou MySQL) em 156 hosts.
- Eles descobriram 57 registros com erros de configuração críticos, 15 dos quais permitiam acesso de administrador com a senha padrão.
- Eles encontraram também Mais de 2.100 registros de artefatos com permissões de upload que podem permitir que um invasor envenene os registros com código malicioso. Em alguns casos, o acesso de usuário anônimo deu aos invasores em potencial acesso a informações confidenciais (como segredos, chaves e senhas) que poderiam ser usadas para lançar um ataque sério na cadeia de suprimentos de software ou envenenar o ciclo de vida de desenvolvimento de software.
Recomendações para equipes de segurança
As equipes de segurança das organizações afetadas devem tomar imediatamente as seguintes medidas:
- Você deve sempre verificarse os registros ou sistemas de gerenciamento de artefatos estão conectados à Internet.
- Se o registro conectado intencionalmente à Internet, é importante verificar se a versão não possui vulnerabilidades críticas de segurança e se a senha padrão está sendo usada.
- as senhas deve ser forte o suficiente e trocado regularmente.
- Acesso para usuários anônimos deve ser desabilitado. Se esse acesso for ativado intencionalmente, eles devem receber privilégios mínimos.
- Artefatos públicos em um repositório devem ser verificados regularmente para garantir que não contenham segredos ou informações confidenciais.
- E finalmente eles devem mudar quaisquer segredos que possam ter sido revelados.
Divulgação de Vulnerabilidade
Poucas empresas, descobriu o estudo da Nautilus, possuem um programa responsável de divulgação de vulnerabilidades. Esses programas são ferramentas importantes: eles permitem que as equipes de segurança de TI relatem possíveis vulnerabilidades de maneira estruturada para que sua organização possa corrigir rapidamente o problema antes que ele seja comprometido.
A Nautilus também descobriu que as empresas com programas de divulgação de vulnerabilidades existentes foram capazes de corrigir configurações incorretas em menos de uma semana. Para empresas sem esse programa, o processo era mais difícil e demorado.
Assaf Morag, pesquisador sênior de ameaças da Aqua Nautilus, explica: “Iniciamos nossa pesquisa com o objetivo de entender melhor as configurações incorretas de registro, descobrir mais sobre as empresas por trás dessas configurações incorretas e ver como um invasor habilidoso poderia explorar registros desprotegidos e configurados incorretamente . Os resultados foram surpreendentes e altamente preocupantes. Tendo em vista a extensão dos riscos que descobrimos, informamos as equipes de segurança das empresas afetadas de acordo com o procedimento usual.
Mais em Aquasec.com
Sobre a Aqua Security Aqua Security é o maior provedor de segurança nativa de nuvem pura. A Aqua oferece a seus clientes a liberdade de inovar e acelerar sua transformação digital. A Aqua Platform fornece automação de prevenção, detecção e resposta em todo o ciclo de vida do aplicativo para proteger a cadeia de suprimentos, a infraestrutura de nuvem e as cargas de trabalho contínuas, independentemente de onde são implantados.
Artigos relacionados ao tema