Исследователи обнаружили уязвимость RCE в Google Cloud, миллионы серверов под угрозой

С тех пор уязвимость была исправлена.

В Google Cloud Platform (GCP) была обнаружена серьезная уязвимость, которая могла позволить хакерам удаленно запускать вредоносный код на миллионах серверов и базовых систем. Уязвимость была обнаружена исследователями кибербезопасности из Tenable, которые сообщили о своих выводах в Google. С тех пор компания рассмотрела проблему и закрыла дыру.

Согласно пресс-релизу, предоставленному TechRadar Pro ранее на этой неделе, исследователи Tenable обнаружили уязвимость, известную как «путаница зависимостей», и назвали ее CloudImposer.

По их словам, уязвимость могла позволить злоумышленникам выполнить код на «потенциально миллионах серверов GCP и системах их клиентов». App Engine, Cloud Function и Cloud Composer, как сообщается, больше всего пострадали от этой уязвимости.

Радиус взрыва «огромный»

Уязвимость была обнаружена в процессе установки зависимостей Composer от GCP, что позволяло злоумышленникам загружать вредоносный пакет в PyPI, который затем предустанавливался на все экземпляры Composer — с высокими разрешениями.

В результате злоумышленники могут удаленно выполнить код, похитить учетные данные сервисных учетных записей и перейти на другие сервисы GCP.

Tenable заявила, что ее исследователи обнаружили ошибку, проведя глубокий анализ документации GCP и Python Software Foundation. Уязвимость могла привести к атакам на цепочку поставок в облаке, которые, как они заявили, могут быть «экспоненциально более разрушительными» по сравнению с локальными средами. Поскольку один вредоносный пакет может быстро распространиться по нескольким сетям, миллионы людей могут быть подвержены атаке.

«Радиус поражения CloudImposer огромен», — прокомментировала Лив Матан, старший научный сотрудник Tenable. «Обнаружив и раскрыв эту уязвимость, мы закрыли большую дверь, которую злоумышленники могли бы использовать в больших масштабах».

Tenable также воспользовалась возможностью, чтобы раскритиковать Google за «поразительное отсутствие осведомленности и превентивных мер» против того, что она называет «методом атаки, который известен уже много лет».