Корпорация Microsoft пофиксила облачную службу Azure Container Instances (ACI), закрыв возможность получения неавторизованного доступа к контейнерам других пользователей в пределах кластера Kubernetes. Данных об использовании новой проблемы со злым умыслом нет; затронутым подписчикам настоятельно рекомендуется отозвать ключи к привилегированным аккаунтам, введенные в оборот ранее 31 августа 2021 года.
Служба ACI позволяет запускать контейнеры в среде бессерверной обработки данных — пользователю не нужно в этом случае заботиться об инфраструктуре. При этом в целях безопасности соблюдается строгое разграничение клиентских групп контейнеров (модулей) в кластере.
Уязвимость, которую в Palo Alto Networks нарекли Azurescape, позволяет, по их словам, захватить контроль над многоклиентским кластером Kubernetes и выполнять вредоносные команды на разных узлах, а также воровать секретные данные и ISO-образы из чужих контейнеров. Для этого нужно лишь иметь аккаунт пользователя в том же кластере.
Как оказалось, в качестве инструмента для запуска контейнеров через ACI публичное облако Azure использует runC версии 1.0.0-rc2. Этому коду скоро минет пять лет, он содержит известную уязвимость (CVE-2019-5736), позволяющую выйти за пределы контейнера.
Разработанная в Palo Alto атака проводится в несколько этапов:
загрузка образа с эксплойтом в облако;
побег из контейнера;
захват контроля над хост-системой (обратный шелл с root-доступом);
поиск в пространстве имен токена, обеспечивающего привилегированный доступ ко всем модулям Kubernetes;
захват контроля над целевыми контейнерами.
Исследователи также обнаружили в инфраструктуре ACI еще одну уязвимость — SSRF (возможность подмены запросов на стороне сервера). Ее эксплойт тоже грозит перехватом админ-контроля над многоклиентским кластером.
Атака Azurescape возможна только против Kubernetes. По оценке Palo Alto, такие кластеры Azure содержат около 37% недавно загруженных контейнеров, запускаемых с помощью ACI (в прошлом году Microsoft начала развертывать эту службу также в кластерах Service Fabric).
Разработчик сообщил, что проблема решена, затронутые пользователи получили нотификации, остальным беспокоиться не о чем. Мнительным клиентам Azure рекомендуется периодически сменять пароли к привилегированным аккаунтам.
Это уже вторая проблема Azure, обнародованная за последние две недели. В конце августа баг-хантеры из Wiz опубликовали подробности атаки на сервис Cosmos DB, позволившей им получить доступ к базам данных клиентов Microsoft.
Уже вторая история с MAX и судебной практикой за неделю: в Оренбургской области мировой судья рассмотрел административное дело об оскорблении в мессенджере и назначил местной жительнице штраф 5 тыс. рублей. Как установил суд, жительница села Сакмара оставила оскорбительные сообщения в адрес другой женщины в группе «родители» в MAX.
Речь шла о публичном оскорблении с использованием информационно-телекоммуникационных сетей, включая интернет, — именно по части 2 статьи 5.61 КоАП РФ и рассматривалось дело.
Протокол в отношении женщины составила прокуратура Сакмарского района. На заседание она не пришла, поэтому дело рассмотрели без её участия. По итогам мировой судья назначил административный штраф в размере 5000 рублей.
При этом постановление пока не вступило в законную силу и ещё может быть обжаловано.
Напомним, буквально вчера мы писали про первый штраф за контент в MAX. 3 марта Абинский районный суд Краснодарского края назначил местному жителю Ивану Кажану штраф 1 тыс. рублей.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
