L'azienda Cloudflare, che fornisce una rete di distribuzione dei contenuti per circa il 20% del traffico Internet, ha pubblicato un rapporto su un attacco a uno dei server della propria infrastruttura, su cui funzionava un wiki interno basato sulla piattaforma Atlassian Confluence, un sistema di tracciamento delle bug Atlassian Jira e un sistema di gestione del codice Bitbucket. L'analisi ha mostrato che l'attaccante è riuscito ad accedere al server sfruttando i token ottenuti a seguito dell'attacco di ottobre all'azienda Okta, che ha portato alla fuga di token di accesso.
Dopo la divulgazione in autunno delle informazioni sull'attacco a Okta, l'azienda Cloudflare ha avviato il processo di aggiornamento delle credenziali, delle chiavi e dei token utilizzati tramite i servizi di Okta, ma si è scoperto che un token e tre account (su diverse migliaia) compromessi a causa della violazione di Okta non erano stati sostituiti e continuavano a funzionare, approfittando così l'attaccante. Le credenziali indicate erano ritenute non utilizzate, ma in realtà consentivano di accedere alla piattaforma Atlassian, al sistema di gestione del codice Bitbucket, a un'applicazione SaaS con accesso amministrativo all'ambiente di Atlassian Jira e a un ambiente in AWS che gestiva il catalogo Cloudflare Apps, ma non aveva accesso all'infrastruttura CDN e non memorizzava dati riservati.
L'incidente non ha interessato i dati e i sistemi degli utenti di Cloudflare. L'audit effettuato ha determinato che l'attacco si è limitato ai sistemi con prodotti Atlassian e non si è diffuso su altri servers, grazie all'adozione da parte di Cloudflare di un modello di zero trust e all'isolamento delle parti dell'infrastruttura.
La violazione del server Cloudflare è stata rilevata il 23 novembre, mentre le prime tracce di accesso non autorizzato al wiki e al sistema di tracciamento bug sono state registrate il 14 novembre. Il 22 novembre l'attaccante ha installato un backdoor per ottenere accesso permanente, creato utilizzando ScriptRunner per Jira. Nello stesso giorno l'attaccante ha ottenuto accesso al sistema di gestione dei codici sorgente, in cui veniva utilizzata la piattaforma Atlassian Bitbucket. Dopo di che si sono verificate delle connessioni alla console server, utilizzata per accedere a un data center ancora non operativo in Brasile, ma tutti i tentativi di connessione sono risultati infruttuosi.
A quanto pare, l'attività dell'attaccante si è limitata allo studio dell'architettura della rete di distribuzione dei contenuti e alla ricerca di punti deboli. Durante le sue attività, l'attaccante ha utilizzato la ricerca su wiki con parole chiave relative all'accesso remoto, segreti, openconnect, cloudflared e token. È stato registrato l'accesso da parte dell'attaccante a 202 pagine wiki (su 194100) e 36 report di problematiche (su 2059357) legati alla gestione delle vulnerabilità e alla rotazione delle chiavi. È stata inoltre riscontrata la scarica di 120 repository di codice (su 11904), la maggior parte dei quali riguardava backup, configurazione e gestione di CDN, sistemi di autenticazione, accesso remoto e utilizzo delle piattaforme Terraform e Kubernetes. In alcuni dei repository erano presenti chiavi criptate lasciate nel codice, che sono state sostituite subito dopo l'incidente, nonostante fosse stato utilizzato metodi di crittografia affidabili.
Fonte: opennet.ru
