Tvrtka Cloudflare, koja pruža mrežu za isporuku sadržaja i pokriva otprilike 20% internetskog prometa, objavila je izvještaj o hakiranju jednog od servera u svojoj infrastrukturi, na kojem je funkcionirao unutarnji wiki site temeljen na platformi Atlassian Confluence, sustav za praćenje grešaka Atlassian Jira i sustav upravljanja kodom Bitbucket. Analiza je pokazala da je napadač uspio dobiti pristup serveru, koristeći tokene dobijene tijekom hakiranja tvrtke Okta u listopadu, što je dovelo do curenja pristupnih tokena.
Nakon što je na jesen otkrivena informacija o hakiranju Okta, tvrtka Cloudflare pokrenula je proces ažuriranja korisničkih podataka, ključeva i tokena korištenih putem usluga Okta. Međutim, kako se ispostavilo, jedan token i tri korisnička računa (od nekoliko tisuća), kompromitirani tijekom hakiranja Okta, nisu zamijenjeni i nastavili su djelovati, što je napadač iskoristio. Ti su korisnički podaci smatrani neiskorištenima, ali su u stvarnosti omogućili pristup platformi Atlassian, sustavu upravljanja kodom Bitbucket, SaaS aplikaciji koja je imala administratorski pristup okruženju Atlassian Jira te okruženju u AWS-u, koje je opsluživalo katalog Cloudflare Apps, ali nije imalo pristup CDN infrastrukturi i nije pohranjivalo povjerljive podatke.
Incident nije utjecao na podatke i sustave korisnika Cloudflare-a. Provedeni audit je utvrdio da je napad bio ograničen na sustave s Atlassian proizvodima i da se nije proširio na druge, servere, zahvaljujući primjeni modela nultog povjerenja (Zero Trust) i izolaciji dijelova infrastrukture unutar Cloudflare-a.
Hakiranje servera Cloudflare otkriveno je 23. studenog, dok su prvi tragovi neovlaštenog pristupa wiki i sustavu za praćenje grešaka zabilježeni 14. studenog. Dana 22. studenog, napadač je postavio backdoor za stalni pristup, stvoren uz pomoć ScriptRunner-a za Jira. Iste je godine, napadač dobio pristup sustavu za upravljanje izvorom, u kojem je korištena platforma Atlassian Bitbucket. Nakon toga je pokušano povezivanje s konzolom poslužitelju, koja se koristila za pristup još neaktivanom data centru u Brazilu, no svi pokušaji povezivanja su bili neuspješni.
Čini se da je aktivnost napadača bila ograničena na proučavanje arhitekture mreže za isporuku sadržaja i traženje slabih tačaka. Tokom svoje aktivnosti, napadač je koristio pretragu u wiki-ju koristeći ključne reči povezane sa daljinskim pristupom, tajnama, openconnect, cloudflared i tokenima. Zabeleženo je otvaranje 202 wiki-stranica (od 194100) i 36 izveštaja o problemima (od 2059357), koji se odnose na upravljanje otklanjanjem ranjivosti i rotaciju ključeva. Takođe je otkriveno preuzimanje 120 repozitorijuma sa kodom (od 11904), od kojih se većina odnosi na pravljenje rezervnih kopija, podešavanje i upravljanje CDN-om, sistemima identifikacije, daljinskim pristupom i korišćenjem platformi Terraform i Kubernetes. U nekim od repozitorija pronađeni su šifrovani ključevi ostavljeni u kodu, koji su odmah zamenjeni nakon incidenta, uprkos korišćenju pouzdanih metoda šifrovanja.
Izvor: opennet.ru
