Cloudflare, l'azienda che fornisce una rete di distribuzione dei contenuti e gestisce circa il 20% del traffico Internet, ha pubblicato un rapporto su una violazione di sicurezza che ha coinvolto uno dei server della sua infrastruttura, dove operavano un sito wiki interno basato su Atlassian Confluence, il sistema di tracciamento dei bug Atlassian Jira e il sistema di gestione del codice Bitbucket. L'analisi ha rivelato che l'attaccante è riuscito ad accedere al server utilizzando i token ottenuti a seguito dell'attacco di ottobre a Okta, che ha portato alla fuga di token di accesso.
Dopo il rilascio, in autunno, delle informazioni sull'attacco a Okta, Cloudflare ha avviato un processo di aggiornamento delle credenziali, chiavi e token utilizzati attraverso i servizi Okta, ma si è scoperto che un token e tre account (su diverse migliaia), compromessi a causa della violazione di Okta, non erano stati sostituiti e continuavano a funzionare, permettendo così all'attaccante di sfruttarli. Queste credenziali erano considerate non utilizzate, ma in realtà consentivano l'accesso alla piattaforma Atlassian, al sistema di gestione del codice Bitbucket, a un'applicazione SaaS con accesso amministrativo all'ambiente Atlassian Jira e a un ambiente AWS che gestisce il catalogo Cloudflare Apps, ma che non aveva accesso all'infrastruttura CDN e non ospitava dati riservati.
L'incidente non ha interessato i dati e i sistemi degli utenti di Cloudflare. L'audit effettuato ha rivelato che l'attacco si è limitato ai sistemi con prodotti Atlassian e non si è propagato ad altri. server, grazie all'adozione del modello di Zero Trust e all'isolamento delle parti dell'infrastruttura in Cloudflare.
La violazione del server di Cloudflare è stata identificata il 23 novembre, mentre le prime tracce di accesso non autorizzato al wiki e al sistema di tracciamento dei bug sono state registrate il 14 novembre. Il 22 novembre, l'attaccante ha installato un backdoor per ottenere accesso persistente, creato utilizzando ScriptRunner per Jira. Nello stesso giorno, l'attaccante ha ottenuto accesso al sistema di gestione del codice sorgente, in cui era utilizzata la piattaforma Atlassian Bitbucket. Successivamente, ha tentato di collegarsi a una console server, utilizzata per accedere a un data center in Brasile non ancora attivato, ma tutti i tentativi di connessione sono falliti.
A quanto pare, l'attività dell'attaccante si è limitata a studiare l'architettura della rete di distribuzione dei contenuti e a cercare punti vulnerabili. Durante la sua attività, l'attaccante ha effettuato ricerche nel wiki utilizzando parole chiave legate all'accesso remoto, segreti, openconnect, cloudflared e token. Sono state registrate l'apertura di 202 pagine wiki (su 194100) e 36 rapporti di problemi (su 2059357) relativi alla gestione della correzione delle vulnerabilità e alla rotazione delle chiavi. È stata anche identificata la download di 120 repository di codice (su 11904), la maggior parte dei quali legati al backup, configurazione e gestione di CDN, sistemi di identificazione, accesso remoto e utilizzo delle piattaforme Terraform e Kubernetes. Alcuni dei repository contenevano chiavi crittografate lasciate nel codice, che sono state sostituite subito dopo l'incidente, nonostante l'uso di metodi di crittografia affidabili.
Fonte: opennet.ru
