Уязвимость ACI позволяла угонять контейнеры в облаке Azure

Уязвимость ACI позволяла угонять контейнеры в облаке Azure

Уязвимость ACI позволяла угонять контейнеры в облаке Azure

Корпорация Microsoft пофиксила облачную службу Azure Container Instances (ACI), закрыв возможность получения неавторизованного доступа к контейнерам других пользователей в пределах кластера Kubernetes. Данных об использовании новой проблемы со злым умыслом нет; затронутым подписчикам настоятельно рекомендуется отозвать ключи к привилегированным аккаунтам, введенные в оборот ранее 31 августа 2021 года.

Служба ACI позволяет запускать контейнеры в среде бессерверной обработки данных — пользователю не нужно в этом случае заботиться об инфраструктуре. При этом в целях безопасности соблюдается строгое разграничение клиентских групп контейнеров (модулей) в кластере.

Уязвимость, которую в Palo Alto Networks нарекли Azurescape, позволяет, по их словам, захватить контроль над многоклиентским кластером Kubernetes и выполнять вредоносные команды на разных узлах, а также воровать секретные данные и ISO-образы из чужих контейнеров. Для этого нужно лишь иметь аккаунт пользователя в том же кластере.

Как оказалось, в качестве инструмента для запуска контейнеров через ACI публичное облако Azure использует runC версии 1.0.0-rc2. Этому коду скоро минет пять лет, он  содержит известную уязвимость (CVE-2019-5736), позволяющую выйти за пределы контейнера.

Разработанная в Palo Alto атака проводится в несколько этапов: 

  • загрузка образа с эксплойтом в облако; 
  • побег из контейнера;
  • захват контроля над хост-системой (обратный шелл с root-доступом);
  • поиск в пространстве имен токена, обеспечивающего привилегированный доступ ко всем модулям Kubernetes;
  • захват контроля над целевыми контейнерами.

 

Исследователи также обнаружили в инфраструктуре ACI еще одну уязвимость — SSRF (возможность подмены запросов на стороне сервера). Ее эксплойт тоже грозит перехватом админ-контроля над многоклиентским кластером.

Атака Azurescape возможна только против Kubernetes. По оценке Palo Alto, такие кластеры Azure содержат около 37% недавно загруженных контейнеров, запускаемых с помощью ACI (в прошлом году Microsoft начала развертывать эту службу также в кластерах Service Fabric).

Разработчик сообщил, что проблема решена, затронутые пользователи получили нотификации, остальным беспокоиться не о чем. Мнительным клиентам Azure рекомендуется периодически сменять пароли к привилегированным аккаунтам.

Это уже вторая проблема Azure, обнародованная за последние две недели. В конце августа баг-хантеры из Wiz опубликовали подробности атаки на сервис Cosmos DB, позволившей им получить доступ к базам данных клиентов Microsoft.

Минюст предложил криминализировать нелегальный майнинг

Минюст разместил на портале проектов нормативных актов законопроект, предусматривающий введение уголовной ответственности за нелегальный майнинг криптовалюты, а также за незаконную деятельность операторов майнинговой инфраструктуры.

Документ опубликован для общественного обсуждения и содержит поправки в Уголовный и Уголовно-процессуальный кодексы РФ.

Согласно проекту, в Уголовный кодекс предлагается добавить часть 6 в статью 171. В ней преступлением признаётся «осуществление майнинга цифровой валюты лицом, не включённым в реестр лиц, осуществляющих майнинг цифровой валюты, если такое включение является обязательным, либо оказание услуг оператора майнинговой инфраструктуры без включения в реестр операторов майнинговой инфраструктуры — при условии, что эти деяния причинили крупный ущерб гражданам, организациям или государству либо были сопряжены с извлечением дохода в крупном размере».

За такие действия предлагается наказывать штрафом до 1,5 млн рублей либо исправительными работами сроком до двух лет. При наличии отягчающих обстоятельств — крупного ущерба, значительного незаконного дохода или совершения преступления в составе организованной группы — штраф может увеличиться до 2,5 млн рублей. Также предусмотрены принудительные работы на срок до пяти лет или лишение свободы на тот же срок.

Отдельно отмечается проблема нелегального майнинга с использованием чужих устройств, когда добыча криптовалюты ведётся с помощью внедрённых на компьютеры пользователей вредоносных программ. В последние годы, как отмечают специалисты, майнинговые ботнеты начали создавать и на базе устройств «умного дома», объединяя их в распределённые сети.

RSS: Новости на портале Anti-Malware.ru