Společnost Cloudflare, poskytující síť pro doručování obsahu, která zpracovává přibližně 20 % internetového provozu, zveřejnila zprávu o hacknutí jednoho ze serverů ve své infrastruktuře, na kterém fungoval interní wiki web postavený na platformě Atlassian Confluence, systém sledování chyb Atlassian Jira a systém správy kódu Bitbucket. Vyšetřování ukázalo, že útočník se dostal na server využitím tokenů získaných během říjnového hacknutí společnosti Okta, které vedlo k úniku přístupových tokenů.
Po zveřejnění informací o hacknutí Okta na podzim, společnost Cloudflare zahájila proces aktualizací přihlašovacích údajů, klíčů a tokenů používaných přes služby Okta. Jak se však ukázalo, jeden token a tři účty (ze stovek tisíc), které byly kompromitovány v důsledku hacknutí Okta, nebyly vyměněny a pokračovaly v platnosti, což útočníkovi usnadnilo přístup. Tyto přihlašovací údaje byly považovány za nevyužívané, ale ve skutečnosti poskytovaly přístup na platformu Atlassian, systém správy kódu Bitbucket, SaaS aplikaci s administrátorským přístupem k prostředí Atlassian Jira a prostředí v AWS, které spravovalo katalog Cloudflare Apps, ale nemělo přístup k infrastruktuře CDN a neuchovávalo žádné citlivé údaje.
Incident neovlivnil data a systémy uživatelů Cloudflare. Provedená audit ukázala, že útok byl omezen na systémy s produkty Atlassian a nešířil se dál. servery, díky aplikaci modelu s nulovým důvěrou (Zero Trust) a izolaci částí infrastruktury v Cloudflare.
Hack serveru Cloudflare byl odhalen 23. listopadu, a první stopy neoprávněného přístupu na wiki a systém sledování chyb byly zaznamenány 14. listopadu. Dne 22. listopadu útočník nainstaloval zadní vrátka pro trvalý přístup, která byla vytvořena pomocí ScriptRunner pro Jira. Téhož dne útočník získal přístup k systému správy zdrojových kódů, ve kterém byla používána platforma Atlassian Bitbucket. Poté byli podniknuty pokusy o připojení k konzolovému serveru, používanému pro přístup k ještě neotevřenému datovému centru v Brazílii, ale všechny pokusy o připojení byly neúspěšné.
Podle všeho se aktivita útočníka omezila na prozkoumání architektury sítě pro doručování obsahu a hledání slabých míst. Během své činnosti útočník využil vyhledávání na wikipedii podle klíčových slov souvisejících s vzdáleným přístupem, tajemstvími, openconnect, cloudflared a tokeny. Bylo zaznamenáno otevření 202 wiki-stránek (z 194100) a 36 zpráv o problémech (z 2059357), které se týkaly správy odstranění zranitelností a rotace klíčů. Bylo také zjištěno stažení 120 repozitářů s kódem (z 11904), z nichž většina se týká zálohování, nastavení a správy CDN, systémů identifikace, vzdáleného přístupu a využití platforem Terraform a Kubernetes. V některých z repozitářů byly ponechány v kódu zašifrované klíče, které byly vyměněny ihned po incidentu, přestože byly použity spolehlivé metody šifrování.
Zdroj: opennet.ru
