Una falla de seguridad cr\u00edtica ahora parcheada que afecta a Google Cloud Platform (GCP) Composer podr\u00eda haber sido explotada para lograr la ejecuci\u00f3n remota de c\u00f3digo en servidores en la nube mediante una t\u00e9cnica de ataque a la cadena de suministro llamada confusi\u00f3n de dependencias.<\/p>\n
La vulnerabilidad ha sido denominada con el nombre en c\u00f3digo Impostor en la nube<\/strong> por Tenable Research.<\/p>\n “La vulnerabilidad podr\u00eda haber permitido a un atacante secuestrar una dependencia de software interna que Google preinstala en cada herramienta de orquestaci\u00f3n de canalizaciones de Google Cloud Composer”, dijo la investigadora de seguridad Liv Matan en un comunicado. informe<\/a> compartido con The Hacker News.<\/p>\n La confusi\u00f3n de dependencias (tambi\u00e9n conocida como ataque de sustituci\u00f3n), que fue documentada por primera vez por el investigador de seguridad Alex Birsan en febrero de 2021, se refiere a un tipo de compromiso de la cadena de suministro de software en el que se enga\u00f1a a un administrador de paquetes para que extraiga un paquete malicioso de un repositorio p\u00fablico en lugar del archivo previsto del mismo nombre de un repositorio interno.<\/p>\n Por lo tanto, un actor de amenazas podr\u00eda organizar un ataque a gran escala a la cadena de suministro mediante: publicaci\u00f3n<\/a> un paquete falsificado en un repositorio de paquetes p\u00fablico con el mismo nombre que un paquete desarrollado internamente por empresas y con un n\u00famero de versi\u00f3n superior.<\/p>\n Esto, a su vez, hace que el administrador de paquetes… descargar sin saberlo<\/a> el paquete malicioso del repositorio p\u00fablico en lugar del repositorio privado, reemplazando efectivamente la dependencia del paquete existente con su contraparte maliciosa.<\/p>\n El problema identificado<\/a> El uso de Tenable es similar en el sentido de que se podr\u00eda abusar de \u00e9l para cargar un paquete malicioso en el repositorio Python Package Index (PyPI) con el nombre “google-cloud-datacatalog-lineage-producer-client”, que luego podr\u00eda preinstalarse en todas las instancias de Composer con permisos elevados.<\/p>\n Si bien Cloud Composer requiere que el paquete en cuesti\u00f3n tenga una versi\u00f3n fija (es decir, versi\u00f3n 0.1.0), Tenable descubri\u00f3 que usar el argumento “–extra-index-url” durante un comando “pip install” prioriza la obtenci\u00f3n del paquete del registro p\u00fablico, lo que abre la puerta a la confusi\u00f3n de dependencias.<\/p>\n Armados con este privilegio, los atacantes podr\u00edan ejecutar c\u00f3digo, extraer credenciales de cuentas de servicio y moverse lateralmente en el entorno de la v\u00edctima hacia otros servicios de GCP.<\/p>\n Tras una divulgaci\u00f3n responsable el 18 de enero de 2024, Google lo solucion\u00f3 en mayo de 2024, asegur\u00e1ndose de que el paquete solo se instala desde un repositorio privado. Tambi\u00e9n agreg\u00f3 la precauci\u00f3n adicional de verificar la suma de verificaci\u00f3n del paquete para confirmar su integridad y validar que no haya sido manipulado.<\/p>\n Se dice que la Autoridad de Empaquetado de Python (PyPA) ha estado al tanto de los riesgos que plantea el argumento “–extra-index-url” al menos desde marzo de 2018, instando a los usuarios a evitar el uso de PyPI en los casos en que sea necesario extraer el paquete interno.<\/p>\n “Se espera que los paquetes sean \u00fanicos en cuanto a nombre y versi\u00f3n, por lo que pip trata como indistinguibles dos ruedas con el mismo nombre de paquete y versi\u00f3n”, dijo un miembro de PyPA. anotado<\/a> “Esta es una caracter\u00edstica deliberada de los metadatos del paquete y no es probable que cambie”.<\/p>\n Google, como parte de su soluci\u00f3n, ahora tambi\u00e9n recomienda que los desarrolladores utilicen el argumento “–index-url” en lugar del argumento “\u2013extra-index-url” y que los clientes de GCP utilicen un repositorio virtual de Artifact Registry cuando requieran m\u00faltiples repositorios.<\/p>\n “El argumento ‘–index-url’ reduce el riesgo de ataques de confusi\u00f3n de dependencia al buscar \u00fanicamente paquetes en el registro que se definieron como un valor dado para ese argumento”, dijo Matan.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/Google-corrige-un-error-en-GCP-Composer-que-podria-haber.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n