Pesquisadores de segurança emitiram comunicado urgente sobre a exposição pública dos segredos de configuração do Kubernetes
Pesquisadores da Aqua Security lançaram um comunicado urgente informando sobre a exposição pública de segredos de configuração do Kubernetes. Eles alertam que centenas de organizações e projetos de código aberto estão vulneráveis a essa “bomba de ataque à cadeia de suprimentos”.
Kubernetes é um sistema de orquestração de contêineres de código aberto que automatiza a implantação, o dimensionamento e a gestão de aplicações em contêineres.
Em um artigo, os pesquisadores da Aqua Yakir Kadkoda e Assaf Morag disseram que encontraram segredos do Kubernetes em repositórios públicos que permitem o acesso a ambientes sensíveis no ciclo de vida de desenvolvimento de software (SDLC) e representam uma grave ameaça de ataque à cadeia de suprimentos.
“Entre as empresas estavam o sistema de gerenciamento de artefatos da SAP, com mais de 95 milhões de artefatos, duas grandes empresas de blockchain e várias outras empresas da lista Fortune 500”, disseram eles. “Esses segredos de configuração codificados do Kubernetes foram enviados para repositórios públicos”, alertaram.
Os segredos do Kubernetes são essenciais para gerenciar dados confidenciais no ambiente de orquestração de contêiner de código aberto. No entanto, eles geralmente são armazenados sem criptografia no armazenamento de dados do servidor de API, tornando-os vulneráveis a ataques.
No artigo, os pesquisadores dizem que realizaram uma pesquisa usando a API do GitHub para recuperar todas as entradas contendo .dockerconfigjson e .dockercfg. “A consulta inicial produziu mais de 8 mil resultados, nos levando a refinar nossa pesquisa para incluir apenas os registros que continham valores de usuário e senha codificados em base64. Esse refinamento nos levou a 438 registros que potencialmente continham credenciais válidas para registros.”
Segundo os pesquisadores, destes 438 registros, 203, aproximadamente 46%, continham credenciais válidas que davam acesso aos respectivos registros. “Na maioria dos casos, essas credenciais permitiam privilégios de puxar e empurrar. Além disso, muitas vezes descobrimos imagens de contêineres privados na maioria desses registros. Informamos as partes interessadas relevantes sobre os segredos expostos e as medidas que devem tomar para remediar o risco.”
A equipe do Aqua disse que descobriu que muitos profissionais às vezes negligenciam a remoção de segredos dos arquivos que cometem em repositórios públicos no GitHub, deixando informações confidenciais expostas.
Para ter acesso ao relatório completo dos pesquisadores Yakir Kadkoda e Assaf Morag, em inglês, clique aqui.
Fonte:
https://www.cisoadvisor.com.br/pesquisadores-descobrem-exposicao-de-segredos-do-kubernetes/
