Компания Cloudflare, която предоставя мрежа за доставка на съдържание обслужваща приблизително 20% от интернет трафика, публикува доклад за хакване на един от сървърите в своята инфраструктура, на който функционираше вътрешен wiki сайт на базата на платформата Atlassian Confluence, система за проследяване на грешки Atlassian Jira и система за управление на код Bitbucket. Анализът показа, че атакуващият е успял да получи достъп до сървъра, използвайки токени, получени в резултат на хакването на компанията Okta през октомври, което доведе до изтичане на достъпни токени.
След разкриването през есента на информацията за хакването на Okta, компанията Cloudflare инициира процес на актуализиране на използваните чрез услугите на Okta учетни данни, ключове и токени, но се оказа, че един токен и три учетни записа (от няколко хиляди), компрометирани в резултат на хакването на Okta, не бяха заменени и продължаваха да действат, което атакуващият използва. Посочените учетни данни се считаха за неизползвани, но реално позволяваха достъп до платформата Atlassian, системата за управление на код Bitbucket, SaaS приложение с администраторски достъп до средата на Atlassian Jira и средата в AWS, обслужваща каталога на Cloudflare Apps, но без достъп до инфраструктурата на CDN и без конфиденциални данни.
Инцидентът не засегна данните и системите на потребителите на Cloudflare. Извършеният одит установи, че атаката е ограничена до системите с продукти на Atlassian и не се е разпространила на други сървъри, благодарение на прилагането в Cloudflare на модел с нулево доверие (Zero Trust) и изолация на частите на инфраструктурата.
Хакването на сървъра на Cloudflare беше разпознато на 23 ноември, а първите следи от несанкциониран достъп до wiki и системата за проследяване на грешки бяха установени на 14 ноември. На 22 ноември атакуващият инсталира обратен достъп за получаване на постоянен достъп, създаден с помощта на ScriptRunner за Jira. В същия ден атакуващият получи достъп до системата за управление на източниците, в която се използваше платформата Atlassian Bitbucket. След това бяха направени опити за свързване с конзолата сървъра, използвана за достъп до още не въведен в експлоатация датацентър в Бразилия, но всички опити за свързване се оказаха неуспешни.
Изглежда, че активността на нападателя се е ограничила до изследване на архитектурата на мрежата за доставка на съдържание и търсене на уязвимости. В хода на дейността си нападателят е използвал търсене в wiki по ключови думи, свързани с отдалечен достъп, секрети, openconnect, cloudflared и токени. Зафиксирано е отварянето на 202 wiki-страници (от 194100) и 36 отчета за проблеми (от 2059357), свързани с управление на отстраняването на уязвимости и ротация на ключове. Освен това е установено, че е изтеглен 120 репозитория с код (от 11904), повечето от които са свързани с бекъп, конфигуриране и управление на CDN, системи за идентификация, отдалечен достъп и използване на платформите Terraform и Kubernetes. В някои от репозиторите е имало оставени в кода криптирани ключове, които са били заменени веднага след инцидента, въпреки че са използвани надеждни методи за криптиране.
Източник: opennet.ru
