Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert une vuln\u00e9rabilit\u00e9 d’escalade de privil\u00e8ges dans Google Cloud qui pourrait permettre \u00e0 des acteurs malveillants de falsifier les images d’application et d’infecter les utilisateurs, entra\u00eenant des attaques de la cha\u00eene d’approvisionnement.<\/p>\n
Le probl\u00e8me, surnomm\u00e9 Bad.Build<\/strong>est enracin\u00e9e dans Service Google\u00a0Cloud\u00a0Build<\/a>selon la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Orca, qui a d\u00e9couvert et signal\u00e9 le probl\u00e8me.<\/p>\n “En abusant de la faille et en permettant une usurpation d’identit\u00e9 du service Cloud Build par d\u00e9faut, les attaquants peuvent manipuler des images dans Google Artifact Registry et injecter du code malveillant”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. a dit<\/a> dans une d\u00e9claration partag\u00e9e avec The Hacker News.<\/p>\n “Toutes les applications construites \u00e0 partir des images manipul\u00e9es sont alors affect\u00e9es et, si les applications malform\u00e9es sont destin\u00e9es \u00e0 \u00eatre d\u00e9ploy\u00e9es sur les environnements des clients, le risque passe de l’environnement de l’organisation fournisseur aux environnements de leurs clients, constituant un risque majeur pour la cha\u00eene d’approvisionnement.”<\/p>\n \u00c0 la suite d’une divulgation responsable, Google a publi\u00e9<\/a> un correctif partiel qui n’\u00e9limine pas le vecteur d’escalade de privil\u00e8ges, le d\u00e9crivant comme un probl\u00e8me de faible gravit\u00e9. Aucune autre action du client n’est requise.<\/p>\n Le d\u00e9faut de conception provient du fait que Cloud\u00a0Build cr\u00e9e automatiquement un compte de service par d\u00e9faut pour ex\u00e9cuter les compilations d’un projet au nom des utilisateurs. Plus pr\u00e9cis\u00e9ment, le compte de service est fourni avec des autorisations excessives (“logging.privateLogEntries.list”), ce qui permet d’acc\u00e9der aux journaux d’audit contenant la liste compl\u00e8te de toutes les autorisations sur le projet. <\/p>\n “Ce qui rend ces informations si lucratives, c’est qu’elles facilitent grandement les d\u00e9placements lat\u00e9raux et l’escalade des privil\u00e8ges dans l’environnement”, a d\u00e9clar\u00e9 Roi Nisimi, chercheur chez Orca. “Savoir quel compte GCP peut effectuer quelle action \u00e9quivaut \u00e0 r\u00e9soudre une grande pi\u00e8ce du puzzle sur la fa\u00e7on de lancer une attaque.”<\/p>\n Ce faisant, un acteur malveillant pourrait abuser de l’autorisation “cloudbuild.builds.create” d\u00e9j\u00e0 obtenue par d’autres moyens pour usurper l’identit\u00e9 du compte de service Google Cloud Build et obtenir des privil\u00e8ges \u00e9lev\u00e9s, exfiltrer une image qui est utilis\u00e9e dans Google Kubernetes Engine (GKE) , et modifiez-le pour incorporer des logiciels malveillants.<\/p>\n “Une fois l’image malveillante d\u00e9ploy\u00e9e, l’attaquant peut l’exploiter et ex\u00e9cuter du code sur le conteneur Docker en tant que root”, a expliqu\u00e9 Nisimi.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n Le correctif mis en place par Google r\u00e9voque l’autorisation logging.privateLogEntries.list du compte de service Cloud Build, emp\u00eachant ainsi l’acc\u00e8s pour \u00e9num\u00e9rer les journaux priv\u00e9s par d\u00e9faut.<\/p>\n Ce n’est pas la premi\u00e8re fois que des failles d’\u00e9l\u00e9vation de privil\u00e8ges affectant Google Cloud\u00a0Platform sont signal\u00e9es. En 2020, Gitlab, Rhino Security Labs et Praetorian d\u00e9taill\u00e9<\/a> divers<\/a> techniques<\/a> cela pourrait \u00eatre exploit\u00e9<\/a> pour compromettre les environnements cloud.<\/p>\n Il est conseill\u00e9 aux clients de surveiller le comportement du compte de service Google Cloud Build par d\u00e9faut afin de d\u00e9tecter tout comportement malveillant \u00e9ventuel et d’appliquer le principe du moindre privil\u00e8ge (PoLP) pour att\u00e9nuer les risques \u00e9ventuels.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/07\/1689803029_1_La-faille-BadBuild-dans-Google-Cloud-Build-souleve-des-inquietudes.jpg\")
<\/div>\n