Saldırganlar Qubole'un AWS erişimini kötüye kullanarak müşteri hesaplarından veri çaldı
Wiz ve Sentra'nın raporlarına göre saldırgan, bir düzineden fazla kuruluşun ortamında, kullanılmayan ama hâlâ Qubole hesabına güvenen rolleri devralarak gizli anahtarları ve dosyaları topladı.
Wiz ve Sentra'nın raporlarına göre, 14 ile 26 Ekim tarihleri arasında bir saldırgan, Qubole'un AWS hesabına bağlı IAM kimlik bilgilerini kullanarak müşterilerin hesaplarındaki çapraz hesap rollerine geçiş yaptı. Bu roller çoğunlukla kullanılmıyordu, ancak her biri hâlâ Qubole'un hesabına güveniyordu; bu yüzden doğru External ID ile gelen istekler kabul edildi. Bir düzineden fazla kuruluşun ortamından veri okundu.
Saldırgan kaynakları taradı, Secrets Manager, SSM Parameter Store ve Lambda ortam değişkenlerinden gizli bilgileri topladı, TruffleHog ile bunların geçerliliğini doğruladı ve erişilebilen S3 kovalarındaki nesneleri indirdi. Sentra, onlarca mağdur kuruluş olduğunu ve yalnızca bir müşteriden milyonlarca dosyanın çalındığını bildirdi. Bir dakikalık ölçümde yaklaşık yedi dakikada 100 parola ve anahtar toplandığı belirtildi.
Raporlar kontrol edildiğinde Qubole ve sahibi Idera'dan bir açıklama yayımlanmamıştı. Araştırmacılar kimlik bilgilerinin nasıl ele geçirildiğini açıklamadı. Etkilenen kuruluşların 1 Ekim'den itibaren CloudTrail kayıtlarını incelemesi, açığa çıkan gizli bilgileri döndürmesi, etkin oturumları iptal etmesi ve kullanılmayan Qubole rollerini kaldırması ya da daraltması öneriliyor.
Neden önemli
Qubole'a güvenen hesaplarda kullanılmayan roller, saldırganın tek bir sızıntıdan geniş bir erişim alanına geçmesini sağladı. Bu roller artık gereksizse hemen kaldırılmalı ya da kapsamı daraltılmalıdır. CloudTrail kayıtlarında Qubole hesap kimliğinden AWS dışı adreslerle gelen AssumeRole istekleri, kontrol edilmesi gereken başlıca işarettir. Kimlik bilgilerinin nasıl sızdığı henüz bilinmediği için, bu bulguların ardından gizli bilgilerin döndürülmesi ve oturumların kapatılması beklenmelidir.
Önemli mi, abartı mı?
Bu haber gerçekten önemli mi, yoksa abartı mı? Başkalarının ne dediğini görmeden önce sen oy ver.