Une cha\u00eene de deux failles critiques a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e dans ApsaraDB RDS pour PostgreSQL et AnalyticDB pour PostgreSQL d’Alibaba Cloud qui pourraient \u00eatre exploit\u00e9es pour violer les protections d’isolation des locataires et acc\u00e9der aux donn\u00e9es sensibles appartenant \u00e0 d’autres clients.<\/p>\n
“Les vuln\u00e9rabilit\u00e9s ont potentiellement permis un acc\u00e8s non autoris\u00e9 aux bases de donn\u00e9es PostgreSQL des clients d’Alibaba Cloud et la possibilit\u00e9 d’effectuer une attaque de la cha\u00eene d’approvisionnement sur les deux services de base de donn\u00e9es d’Alibaba, conduisant \u00e0 un RCE sur les services de base de donn\u00e9es d’Alibaba”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Wiz. a dit<\/a> dans un nouveau rapport partag\u00e9 avec The Hacker News.<\/p>\n Le questions<\/a>surnomm\u00e9 Cass\u00e9S\u00e9same<\/strong>ont \u00e9t\u00e9 signal\u00e9s \u00e0 Alibaba Cloud en d\u00e9cembre 2022, apr\u00e8s que des mesures d’att\u00e9nuation ont \u00e9t\u00e9 d\u00e9ploy\u00e9es par la soci\u00e9t\u00e9 le 12 avril 2023. Il n’y a aucune preuve sugg\u00e9rant que les faiblesses ont \u00e9t\u00e9 exploit\u00e9es \u00e0 l’\u00e9tat sauvage.<\/p>\n En un mot, les vuln\u00e9rabilit\u00e9s – une faille d’escalade de privil\u00e8ges dans AnalyticDB et un bogue d’ex\u00e9cution de code \u00e0 distance dans ApsaraDB RDS – ont permis d’\u00e9lever les privil\u00e8ges pour rooter dans le conteneur, s’\u00e9chapper vers le n\u0153ud Kubernetes sous-jacent et finalement obtenir un acc\u00e8s non autoris\u00e9 \u00e0 l’API. serveur.<\/p>\n Arm\u00e9 de cette capacit\u00e9, un attaquant pourrait r\u00e9cup\u00e9rer les informations d’identification associ\u00e9es au registre de conteneurs \u00e0 partir du serveur d’API et pousser une image malveillante pour prendre le contr\u00f4le des bases de donn\u00e9es client appartenant \u00e0 d’autres locataires sur le n\u0153ud partag\u00e9.<\/p>\n “Les informations d’identification utilis\u00e9es pour extraire les images n’\u00e9taient pas d\u00e9finies correctement et permettaient des autorisations de pouss\u00e9e, jetant les bases d’une attaque de la cha\u00eene d’approvisionnement”, ont d\u00e9clar\u00e9 les chercheurs de Wiz, Ronen Shustin et Shir Tamari.<\/p>\n Ce n’est pas la premi\u00e8re fois que des vuln\u00e9rabilit\u00e9s PostgreSQL sont identifi\u00e9es dans les services cloud. L’ann\u00e9e derni\u00e8re, Wiz a d\u00e9couvert des probl\u00e8mes similaires dans Azure Database pour PostgreSQL Flexible Server (ExtraReplica) et IBM Cloud Databases pour PostgreSQL (Hell’s Keychain).<\/p>\n D\u00e9fendre avec tromperie\u00a0: Faire progresser la s\u00e9curit\u00e9 Zero Trust<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n Les conclusions arrivent alors que l’unit\u00e9 42 de Palo Alto Networks, dans son Rapport sur les menaces cloud<\/a>a r\u00e9v\u00e9l\u00e9 que “les acteurs de la menace sont devenus aptes \u00e0 exploiter les probl\u00e8mes courants et quotidiens dans le cloud”, notamment les erreurs de configuration, les informations d’identification faibles, le manque d’authentification, les vuln\u00e9rabilit\u00e9s non corrig\u00e9es et les packages de logiciels open source (OSS) malveillants.<\/p>\n “76\u00a0% des organisations n’appliquent pas l’AMF [multi-factor authentication] pour les utilisateurs de console, tandis que 58\u00a0% des organisations n’appliquent pas l’authentification MFA pour les utilisateurs root\/admin”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9.<\/p>\n <\/p>\n![\"Bases](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEioIs2G3vuycLMFwnpRBp2c607fH7WFIOkrHIZVzX_mjqxxNRoPOk8vrbq1th67BKwwUIlC-SmUQAKCnXwLmWLbnUAkJgpqr5WZrJ88UqfozxXM9eHnR5zJZDifcDMTAl5bE_cSMUYc4XGe7E6fMOhJoF68w2NDy0HeZHrI39bsd0kQXPoWGcgzGv0y\/s728-e3650\/id.png\" "\\"Bases")
<\/div>\n