Ошибки настроек Apache Airflows грозят утечкой ключей AWS и Google Cloud

Ошибки настроек Apache Airflows грозят утечкой ключей AWS и Google Cloud

Ошибки настроек Apache Airflows грозят утечкой ключей AWS и Google Cloud

В открытом доступе обнаружены серверы Apache Airflows, сливающие конфиденциальную информацию, в том числе логины и пароли тысяч корпоративных пользователей. Как оказалось, во всех случаях владельцы используют устаревшую версию софта и неправильные настройки; из-за этого в руки злоумышленников могут попасть ключи к таким веб-сервисам, как AWS, Microsoft Azure, Google Cloud, Binance, PayPal, Stripe и Slack.

Opensource-инструмент Apache Airflow, позволяющий автоматизировать выполнение бизнес- и ИТ-задач, пользуется большой популярностью у крупных компаний различного профиля. Эта платформа для управления рабочими процессами обычно размещается в облаке, и оставлять ее в общем доступе категорически не рекомендуется.

Из ошибок конфигурации, которые выявили эксперты Intezer, наиболее часто встречается вшитый в код пароль. Это упущение было обнаружено во многих файлах DAG (Directed Acyclic Graph, направленный ациклический граф — рабочая сущность Airflow, позволяющая объединять задачи, чтобы они выполнялись в определенной последовательности и по расписанию).

В других случаях идентификаторы пользователя можно было получить из переменной, которую используют все скрипты DAG. Некоторые пользователи хранили незашифрованный пароль в конфигурационном файле (airflow.cfg) или в поле Extra настроек подключения к внешним системам. В Airflow сборок ниже 1.10.13 учетные данные, добавленные через CLI-интерфейс, попали в логи, тоже в открытом виде.

Утечка идентификаторов пользователя в данном случае грозит не только несанкционированным доступом к корпоративным и клиентским данным. На серверах с Airflow веток ниже 1.10 злоумышленник также имел возможность выполнить вредоносный код путем подмены Docker-образа или зависимостей, используемых в рабочем процессе.

Большинство выявленных Intezer проблем были устранены с выпуском Airflow версии 2.0. В ветке 2.1.0, появившейся в минувшем мае, защита от утечек была дополнительно усилена — пароли и другие чувствительные данные в журнале регистрации задач и UI теперь появляются в замаскированном виде. Пользователям настоятельно рекомендуется обновить продукт до последней версии.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Полиция Челябинска вернула 2 млн рублей жертвам телефонных мошенников

В Челябинске сотрудники полиции предотвратили крупное мошенничество: телефонные аферисты пытались завладеть более чем 2 млн рублей. Деньги удалось вернуть законным владельцам, а курьер, работавший на злоумышленников, был задержан.

Об этом случае сообщила официальный представитель МВД Ирина Волк. Полицейские заметили пожилого мужчину, который садился в такси с черным пакетом.

Они проследили за автомобилем и увидели, как пассажир передал пакет женщине у жилого дома в другом районе города.

Сотрудники продолжили наблюдение. Вскоре к той же женщине подходили разные люди и также передавали ей пакеты и свёртки. Позже с ней встретился молодой человек, которого задержали в момент получения переданных средств.

Задержанным оказался 18-летний житель Златоуста. В мессенджере он нашёл объявление о «подработке» и, получив инструкции от мошенников, начал их выполнять.

Выяснилось, что женщина, у которой он забирал пакеты, сама стала жертвой обмана. По указанию злоумышленников она передавала ему как деньги, полученные от других граждан, так и собственные сбережения.

Следователи УМВД России по Магнитогорску возбудили уголовное дело по ч. 4 ст. 159 УК РФ (мошенничество в особо крупном размере). Молодому человеку избрана мера пресечения в виде подписки о невыезде и надлежащем поведении. Все похищенные средства возвращены владельцам.

Схема, которую использовали телефонные мошенники, хорошо известна: сначала они звонили, представляясь сотрудниками операторов связи и предлагали сменить номер. Затем поступал звонок от «представителя правоохранительных органов», который сообщал о попытках оформить доверенности или перевести деньги за границу. Чтобы «сохранить средства», гражданам предлагали снять наличные и передать их курьеру.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru