Cloudflare חשפה מידע על הפריצה לאחד מהשרתים שלה

Cloudflare, המספקת רשת אספקת תוכן המהווה כ-20% מתעבורת האינטרנט, פרסמה דיווח על פריצה לאחד השרתים בתשתית שלה, שהפעיל אתר ויקי פנימי המבוסס על פלטפורמת Atlassian Confluence, Atlassian Jira מערכת מעקב אחר בעיות ומערכת ניהול הקוד של Bitbucket. . הניתוח הראה כי התוקף הצליח לקבל גישה לשרת באמצעות אסימונים שהושגו כתוצאה מהפריצה של Okta באוקטובר, שהובילה לדליפה של אסימוני גישה.

לאחר חשיפת המידע על פריצת Okta בסתיו, Cloudflare יזמה תהליך של עדכון אישורים, מפתחות ואסימונים המשמשים באמצעות שירותי Okta, אך כפי שהתברר, אסימון אחד ושלושה חשבונות (מתוך כמה אלפים) נפגעו כתוצאה מכך. של פריצת Okta לא הוחלפו והמשיך לפעול, מה שהתוקף ניצל. אישורים אלה נחשבו בלתי שמישים, אך למעשה אפשרו גישה לפלטפורמת Atlassian, מערכת ניהול הקוד של Bitbucket, יישום SaaS בעל גישה מנהלתית לסביבת Atlassian Jira, וסביבה ב-AWS המשרתת את ספריית האפליקציות של Cloudflare, אך לא יש גישה לתשתית CDN ואינו מאחסן נתונים סודיים.

האירוע לא השפיע על נתוני משתמש או מערכות של Cloudflare. הביקורת קבעה כי המתקפה הוגבלה למערכות המרצות מוצרי Atlassian ולא התפשטה לשרתים אחרים, בשל מודל Zero Trust של Cloudflare ובידוד חלקים מהתשתית.

הפריצה לשרת Cloudflare התגלתה ב-23 בנובמבר, והעקבות הראשונים של גישה לא מורשית לוויקי ולמערכת מעקב אחר בעיות נרשמו ב-14 בנובמבר. ב-22 בנובמבר, התוקף התקין דלת אחורית כדי לקבל גישה קבועה, שנוצרה באמצעות ScriptRunner עבור Jira. באותו יום, התוקף השיג גישה למערכת בקרת המקור, שהשתמשה בפלטפורמת Atlassian Bitbucket. לאחר מכן, בוצע חיבור לשרת המסוף המשמש לגישה למרכז נתונים בברזיל שטרם הופעל, אך כל ניסיונות החיבור לא צלחו.

ככל הנראה, פעילותו של התוקף הוגבלה ללימוד הארכיטקטורה של רשת אספקת התוכן וחיפוש נקודות חולשה. התוקף השתמש בחיפוש ב-wiki עבור מילות מפתח הקשורות לגישה מרחוק, סודות, openconnect, cloudflared ואסימונים. התוקף תיעד את הפתיחה של 202 דפי ויקי (מתוך 194100) ו-36 דיווחי בעיות (מתוך 2059357) הקשורים לניהול נקודות תורפה וסיבוב מפתחות. כמו כן זוהתה הורדה של 120 מאגרי קוד (מתוך 11904), שרובם קשורים לגיבוי, תצורה וניהול CDN, מערכות זהות, גישה מרחוק ושימוש בפלטפורמות Terraform ו-Kubernetes. חלק מהמאגרים הכילו מפתחות מוצפנים שנותרו בקוד, שהוחלפו מיד לאחר האירוע, למרות השימוש בשיטות הצפנה אמינות.

מקור: OpenNet.ru