Im Rahmen eines größeren Forschungsprojekts, das PostgreSQL-Implementierungen bei großen Cloud-Anbietern analysiert, entdeckten Experten des US-amerikanischen Sicherheitsunternehmens Wiz mehrere Sicherheitslücken in der Datenbank-as-a-Service-Infrastruktur der IBM Cloud. Zuvor hatten die Forscher bereits Schwachstellen in den PostgreSQL-Implementierungen von Microsoft Azure und Google Cloud Platform gefunden und veröffentlicht.IBM hat die Probleme nach dem Test laut Wiz behoben. Grundsätzlich wirft der demonstrierte Angriff ein Schlaglicht auf einige häufige Sicherheitsmängel, die zu einer Gefährdung der Lieferkette in der Cloud-Infrastruktur führen können.

Das Vorgehen der Security-Forscher

Der von den Wiz-Forschern entwickelte Angriff kombinierte eine Schwachstelle für die Ausweitung von Rechten in der IBM Cloud Databases for PostgreSQL Service mit Klartext-Anmeldeinformationen, die in der gesamten Umgebung verstreut waren. Allzu freizügige interne Netzwerkzugriffskontrollen ermöglichten dann eine seitliche Bewegung innerhalb der Infrastruktur.Grundsätzlich hat die relationale Open-Source-Datenbank-Engine PostgreSQL mit dem Problem zu kämpfen, dass sie nicht mit einem Berechtigungsmodell entwickelt wurde, das für mandantenfähige Cloud-Umgebungen geeignet ist, in denen die Datenbankinstanzen voneinander und von der zugrunde liegenden Infrastruktur isoliert werden müssen.

So fanden die Forscher im Falle von IBM eine SQL-Injection-Schwachstelle, die durch eine unsachgemäße Bereinigung der an die Funktion übergebenen Argumente verursacht wurde. Dies bedeutete, dass sie beliebige SQL-Abfragen an die Funktion übergeben konnten, die diese Abfragen dann als Superuser "ibm" ausführten.Die Forscher nutzten diesen Fehler über die PostgreSQL-COPY-Anweisung aus, um beliebige Befehle auf der zugrunde liegenden virtuellen Maschine auszuführen, die die Datenbankinstanz beherbergte, und öffneten eine Reverse Shell.

Port-Scans alarmieren Sicherheitsteam

Mit einer Shell auf dem Linux-System begannen sie dann, ihre Umgebung zu erkunden, indem sie laufende Prozesse auflisteten, aktive Netzwerkverbindungen überprüften, den Inhalt der /etc/passwd-Dateienuntersuchten und einen Port-Scan im internen Netzwerk durchführten, um andere Server zu entdecken. Der umfassende Port-Scan erregte allerdings die Aufmerksamkeit des IBM-Sicherheitsteams, das sich an das Wiz-Team wandte, um sich über dessen Aktivitäten zu informieren.

Nach Rücksprache wurden den Forschern dann erlaubt, ihre Tests fortzusetzen, um die Grenzen der Sicherheit weiter auszuloten. Im Zuge der weiteren Untersuchung fanden die Forscher dann ein API-Zugangs-Token für den Kubernetes-Pod-Container indem sie sich befanden. Das API-Token nutzten die Wiz-Experten, um die Konfigurationen der Pods in ihrem Namespace zu lesen, und fanden in diesen Konfigurationsdateien den Zugangsschlüssel für vier verschiedene interne Container-Registries. Die Beschreibung dieses neu gefundenen Schlüssels in der Identitäts- und Zugriffsverwaltungs-API (IAM) der IBM Cloud deutete darauf hin, dass er sowohl Lese- als auch Schreibrechte für die Container-Registrierungen hatte. Dies hätte den Forschern die Möglichkeit gegeben, vorhandene Images mit gefälschten zu überschreiben. Es stellte sich jedoch heraus, dass die Beschreibung des Schlüssels ungenau war und sie nur Images herunterladen konnten.

Da Container-Images eine Menge an sensiblen Daten wie etwa Anmeldeinformationen enthalten können, entschlossen sich die Forscher alle Images vom Registrierungsdienst herunterzuladen und sie mit einem automatisierten Tool auf geheime Informationen wie Anmeldedaten und API-Token zu scannen. In mehreren Dateien fanden die Forscher Befehle, denen Passwörter als Befehlszeilenargumente übergeben wurden. Dazu gehörten Passwörter für einen IBM-Cloud-internen FTP-Server und ein Build-Artefakt-Repository.

Schließlich testeten die Forscher, ob sie von ihrem Container aus auf diesenServer zugreifen konnten- und sie konnten. Dieser allzu freizügige Netzwerkzugriff in Kombination mit den extrahierten Anmeldeinformationen ermöglichte es ihnen, beliebige Dateien im Build-Artefakt-Repository zu überschreiben. Dieses wird vom automatisierten IBM-Cloud-Build-Prozess zur Erstellung von Container-Images verwendet. Diese Images werden dann in Kundenimplementierungen verwendet, was die Tür für einen Angriff auf die Lieferkette öffnet.

Lessons learned

Der Test der IBM-Cloud, so die Wiz-Forscher, bestätigte erneut, dass Änderungen an der PostgreSQL-Engine zu neuen Schwachstellen führen. Allerdings sei IBM damit nicht allein, denn nach Angaben des Wiz-Teams ist das Problem der "verstreuten Geheimnisse" in allen Cloud-Umgebungen verbreitet. So hinterließen automatisierte Build- und Deployment-Workflows oft Geheimnisse an verschiedenen Stellen, wie etwa in Konfigurationsdateien, in der Linux-Bash-Historie, in Journal-Dateien etc. Hier sehen die Forscher die Entwickler gefordert, diese Informationen zu löschen, wenn die Bereitstellung abgeschlossen ist.

Ein weiteres Problem, das bei dem Angriff auf die IBM Cloud eine entscheidende Rolle spielte, war das Fehlen strenger Zugangskontrollen zwischen den Servern. Dies ermöglichees Angreifern, sich seitlich zu bewegen und tiefer in die Infrastruktur eines Unternehmens einzudringen.

Und zu guter könnten private Container-Registrierungen Angreifern eine Fülle von Informationen liefern, die über Anmeldedaten hinausgehen - etwa über wichtige Server innerhalb der Infrastruktur. Wiz rät deshalb den Unternehmen, sicherZustellen, dass ihre Container-Registrierungslösungen angemessene Zugriffskontrollen besitzen.

Im Rahmen eines größeren Forschungsprojekts, das PostgreSQL-Implementierungen bei großen Cloud-Anbietern analysiert, entdeckten Experten des US-amerikanischen Sicherheitsunternehmens Wiz mehrere Sicherheitslücken in der Datenbank-as-a-Service-Infrastruktur der IBM Cloud. Zuvor hatten die Forscher bereits Schwachstellen in den PostgreSQL-Implementierungen von Microsoft Azure und Google Cloud Platform gefunden und veröffentlicht. IBM hat die Probleme nach dem Test laut Wiz behoben. Grundsätzlich wirft der demonstrierte Angriff ein Schlaglicht auf einige häufige Sicherheitsmängel, die zu einer Gefährdung der Lieferkette in der Cloud-Infrastruktur führen können.