A Cloudflare, a tartalomkézbesítő hálózat, amely a globális internetforgalom körülbelül 20%-át szolgálja ki, közzétette egy belső wiki-szolgáltatásának szerverében történt betörés jelentését, amely az Atlassian Confluence platformon működik, valamint az Atlassian Jira hibakövető rendszeréhez és a Bitbucket kódkezelő rendszerhez is kapcsolódik. A vizsgálat szerint a támadó hozzáférést szerzett a szerverhez a cég októberben történt Okta-betörésének következményeként kapott tokenek kihasználásával, amely során hozzáférési tokenek szivárogtak ki.
Az ősszel, az Okta betöréséről szóló információk nyilvánosságra hozatala után a Cloudflare elindította a rendszeresített hitelesítő adatok, kulcsok és tokenek frissítési folyamatát, de kiderült, hogy egy token és három felhasználói fiók (több ezerből) a betörés következtében nem lett lecserélve, és továbbra is működött, amelyet a támadó kihasznált. Ezeket a hitelesítő adatokat töröltnek tekintették, de valójában hozzáférést biztosítottak az Atlassian platformhoz, a Bitbucket kódkezelő rendszerhez, egy SaaS alkalmazáshoz, amely adminisztrátori hozzáféréssel rendelkezett az Atlassian Jira környezetéhez, és egy AWS környezethez, amely a Cloudflare Apps katalógust szolgálta ki, de nem volt hozzáférése a CDN infrastruktúrához, és nem tárolt bizalmas adatokat.
Az incidens nem érintette a Cloudflare felhasználóinak adatait és rendszereit. Az elvégzett audit megállapította, hogy a támadás az Atlassian termékekre korlátozódott, és nem terjedt ki másokra. szerverek, a Cloudflare révén alkalmazott nullás bizalom (Zero Trust) modellnek és az infrastruktúra részeinek elszigetelésének köszönhetően.
A Cloudflare szerverének betörését november 23-án észlelték, az első engedély nélküli hozzáférés nyomait pedig november 14-én rögzítették a wiki és a hibakövető rendszer felé. November 22-én a támadó egy hátsó ajtót telepített, amelyet a Jira ScriptRunner segítségével hozott létre a tartós hozzáférés érdekében. Ugyanezen a napon a támadó hozzáférést kapott a forráskód-kezelő rendszerhez, amely az Atlassian Bitbucket platformot használta. Ezt követően csatlakozási kísérleteket tettek egy konzolhoz, szerverhez, amelyet egy még üzembe nem helyezett brazíliai adatközponthoz való hozzáférésre használtak, de minden csatlakozási kísérlet sikertelen volt.
A támadó nyilvánvalóan a tartalomkezelő hálózat architektúrájának tanulmányozására és gyenge pontok keresésére korlátozódott. Tevékenysége során a támadó kulcsszavakra keresett a wiki-ben, amelyek az távoli hozzáférésre, titkokra, openconnect-ra, cloudflared-re és tokenekre vonatkoztak. A támadó összesen 202 wiki-oldalt nyitott meg (194100-ból) és 36 problémabejegyzést (2059357-ból), amelyek a sebezhetőségek kezelésével és a kulcsok rotációjával kapcsolatosak. Emellett 120 kódrepositóriumot töltött le (11904-ből), amelyek többsége adatmentésre, CDN beállítására és kezelésére, azonosítási rendszerekre, távoli hozzáférésre, valamint a Terraform és Kubernetes platformok használatára vonatkozott. Néhány repóban titkosított kulcsokat hagytak a kódban, amelyeket az incidens után azonnal kicseréltek, annak ellenére, hogy megbízható titkosítási módszereket alkalmaztak.
Forrás: opennet.ru
