C'è una vulnerabilità nella piattaforma del motore di calcolo di Google che gli aggressori potrebbero sfruttare per ottenere il controllo delle macchine virtuali sulla rete. La scoperta arriva dal ricercatore di sicurezza Imre Rad che ha pubblicato un'analisi su GitHub. Ha riferito di "una vulnerabilità senza patch che colpisce le macchine virtuali nella piattaforma Compute Engine di Google".
Che cos'è Google Compute Engine?
Poco detto, è un servizio di calcolo personalizzabile che consente la creazione e l'esecuzione di macchine virtuali sull'infrastruttura di Google. È un componente Infrastructure-as-a-Service di Google Cloud Platform, costruito sull'infrastruttura globale che gestisce il motore di ricerca di Google, Gmail, YouTube. Il servizio consente l'archiviazione dei metadati nel server dei metadati, offrendo un punto centrale per posizionare i metadati in coppie chiave-valore per le VM in fase di esecuzione.
Correlata: La vulnerabilità di Google Drive potrebbe portare al download di malware
Vulnerabilità senza patch in Google Compute Engine
L'exploit è possibile "a causa di numeri casuali deboli utilizzati dal software ISC DHCP e una sfortunata combinazione di fattori aggiuntivi". L'attacco può avvenire impersonando il server dei metadati dal punto di vista della macchina della VM mirata. “Montando questo exploit, l'attaccante può concedere l'accesso a se stesso tramite SSH (autenticazione con chiave pubblica) in modo che possano accedere come utente root,"Ha spiegato Rad Rad.
Il ricercatore ha anche delineato tre scenari in cui la vulnerabilità potrebbe essere sfruttata con successo:
attacco #1: Targeting di una VM sulla stessa sottorete (~stesso progetto), mentre si riavvia. L'attaccante ha bisogno della presenza su un altro host.
attacco #2: Targeting di una VM sulla stessa sottorete (~stesso progetto), mentre rinnova il contratto di locazione (quindi non è necessario riavviare). Questo avviene ogni mezz'ora (1800s), fabbricazione 48 finestre/tentativi possibili al giorno. Poiché una VM di classe F ha ~170.000 pps (pacchetto al secondo), e un giorno di unixtime + potenziali pid rendono ~ 86420 potenziali XID, questo è un vettore di attacco fattibile.
attacco #3: Targeting di una VM su Internet. Ciò richiede che il firewall davanti alla VM vittima sia completamente aperto. Probabilmente non è uno scenario comune, ma poiché anche il webui di GCP Cloud Console ha un'opzione per questo, devono esserci parecchie VM con questa configurazione. In questo caso l'attaccante deve anche indovinare l'indirizzo IP interno della VM, ma dal momento che la prima VM sembra ottenere 10.128.0.2 sempre, l'attacco potrebbe funzionare, ancora.
È interessante notare che questa non è la prima volta che lo stesso ricercatore scopre falle di sicurezza in Google Cloud Platform. Le vulnerabilità precedenti divulgate da Rad includono un bug di escalation dei privilegi locali nello strumento di configurazione del sistema operativo. e un problema di esecuzione di codice arbitrario nella VM che potrebbe essere sfruttato ottenendo una shell sul database Cloud SQL.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: