Investigadores de ciberseguridad han revelado una vulnerabilidad de escalada de privilegios que afecta al servicio Cloud Functions de Google Cloud Platform y que un atacante podr\u00eda explotar para acceder a otros servicios y datos confidenciales de manera no autorizada.<\/p>\n
Tenable tiene dado<\/a> La vulnerabilidad se llama ConfusedFunction.<\/p>\n “Un atacante podr\u00eda escalar sus privilegios a la cuenta de servicio predeterminada de Cloud Build y acceder a numerosos servicios como Cloud Build, almacenamiento (incluido el c\u00f3digo fuente de otras funciones), registro de artefactos y registro de contenedores”, dijo la empresa de gesti\u00f3n de exposici\u00f3n en un comunicado.<\/p>\n “Este acceso permite el movimiento lateral y la escalada de privilegios en el proyecto de una v\u00edctima, para acceder a datos no autorizados e incluso actualizarlos o eliminarlos”.<\/p>\n Funciones de la nube se refiere<\/a> a un entorno de ejecuci\u00f3n sin servidor que permite a los desarrolladores crear funciones de prop\u00f3sito \u00fanico que se activan en respuesta a eventos espec\u00edficos de la nube sin la necesidad de administrar un servidor o actualizar marcos.<\/p>\n El problema descubierto por Tenable tiene que ver con el hecho de que una cuenta de servicio Cloud Build se crea en segundo plano y se vincula a una instancia de Cloud Build de forma predeterminada cuando se crea o actualiza una Cloud Function.<\/p>\n Esta cuenta de servicio abre la puerta a una posible actividad maliciosa debido a sus permisos excesivos, lo que permite que un atacante con acceso para crear o actualizar una funci\u00f3n en la nube aproveche esta laguna y escale sus privilegios a la cuenta de servicio.<\/p>\n Este permiso podr\u00eda utilizarse de forma abusiva para acceder a otros servicios de Google Cloud que tambi\u00e9n se crean en conjunto con Cloud Function, como Cloud Storage, Artifact Registry y Container Registry. En un escenario de ataque hipot\u00e9tico, ConfusedFunction podr\u00eda aprovecharse para filtrar el token de la cuenta de servicio de Cloud Build a trav\u00e9s de un webhook.<\/p>\n Tras la divulgaci\u00f3n responsable, Google ha actualizado<\/a> El comportamiento predeterminado es que Cloud Build utiliza el Cuenta de servicio predeterminada de Compute Engine<\/a> para evitar el uso indebido. Sin embargo, cabe se\u00f1alar que estos cambios no se aplican a las instancias existentes.<\/p>\n “La vulnerabilidad ConfusedFunction resalta los escenarios problem\u00e1ticos que pueden surgir debido a la complejidad del software y la comunicaci\u00f3n entre servicios en los servicios de un proveedor de nube”, afirm\u00f3 la investigadora de Tenable Liv Matan.<\/p>\n “Si bien la correcci\u00f3n de GCP redujo la gravedad del problema para futuras implementaciones, no lo elimin\u00f3 por completo. Esto se debe a que la implementaci\u00f3n de una funci\u00f3n de Cloud Function a\u00fan desencadena la creaci\u00f3n de los servicios de GCP antes mencionados. Como resultado, los usuarios a\u00fan deben asignar permisos m\u00ednimos, pero relativamente amplios, a la cuenta de servicio de Cloud Build como parte de la implementaci\u00f3n de una funci\u00f3n”.<\/p>\n El desarrollo surge luego de que Outpost24 detallara una falla de secuencias de comandos entre sitios (XSS) de gravedad media en Oracle Integration Cloud Platform que podr\u00eda usarse para inyectar c\u00f3digo malicioso en la aplicaci\u00f3n.<\/p>\n La falla, que tiene su ra\u00edz en el manejo del par\u00e1metro “consumer_url”, fue resuelto<\/a> por Oracle en su Actualizaci\u00f3n de Parche Cr\u00edtico (CPU) publicada a principios de este mes.<\/p>\n “La p\u00e1gina para crear una nueva integraci\u00f3n, que se encuentra en https:\/\/.integration.ocp.oraclecloud.com\/ic\/integration\/home\/faces\/link?page=integration&consumer_url=![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Investigadores-descubren-vulnerabilidad-ConfusedFunction-en-Google-Cloud-Platform.gif\")
<\/a><\/center><\/section>\n<\/a><\/div>\n