Cloudflare, een bedrijf dat een content delivery network aanbiedt dat ongeveer 20% van het internetverkeer verwerkt, heeft een rapport gepubliceerd over de inbraak op een van zijn servers, waarop een interne wiki-site draaide op basis van het Atlassian Confluence-platform, het foutopsporingssysteem Atlassian Jira en het versiebeheersysteem Bitbucket. Uit onderzoek bleek dat de aanvaller toegang had gekregen tot de server door gebruik te maken van tokens die waren verkregen tijdens de inbraak bij het bedrijf Okta in oktober, die leidde tot een lek van toegangstokens.
Na de onthulling van de inbraak bij Okta in de herfst, heeft Cloudflare het proces op gang gebracht om de door de Okta-diensten gebruikte inloggegevens, sleutels en tokens bij te werken, maar het bleek dat één token en drie accounts (van enkele duizenden), die waren gecompromitteerd als gevolg van de inbraak bij Okta, niet waren vervangen en nog steeds actief waren, wat de aanvaller kon benutten. De genoemde inloggegevens werden als ongebruikt beschouwd, maar stelden in werkelijkheid toegang tot het Atlassian-platform, het versiebeheersysteem Bitbucket, een SaaS-applicatie met administratieve toegang tot de Atlassian Jira-omgeving, en de AWS-omgeving die de Cloudflare Apps-catalogus bedient, maar geen toegang heeft tot de CDN-infrastructuur en geen gevoelige gegevens opslaat.
Het incident had geen invloed op de gegevens en systemen van Cloudflare-gebruikers. Een uitgevoerde audit bepaalde dat de aanval zich beperkte tot systemen met Atlassian-producten en niet verspreidde naar andere systemen. servers, dankzij het gebruik van het Zero Trust-model en de isolatie van delen van de infrastructuur door Cloudflare.
De inbraak op de Cloudflare-server werd op 23 november ontdekt, terwijl de eerste sporen van ongeoorloofde toegang tot de wiki en het foutopsporingssysteem op 14 november werden vastgelegd. Op 22 november installeerde de aanvaller een backdoor om permanente toegang te krijgen, gemaakt met behulp van ScriptRunner voor Jira. Op dezelfde dag kreeg de aanvaller toegang tot het versiebeheersysteem, dat het Atlassian Bitbucket-platform gebruikte. Daarna werden er verbindingen geprobeerd met de console server, die werd gebruikt om toegang te krijgen tot een datacenter in Brazilië dat nog niet in gebruik was genomen, maar alle verbindingspogingen bleken onsuccesvol.
Blijkbaar beperkte de activiteit van de aanvaller zich tot het bestuderen van de architectuur van het content delivery netwerk en het zoeken naar zwakke plekken. Tijdens zijn activiteiten gebruikte de aanvaller wiki-zoekopdrachten met sleutelwoorden gerelateerd aan externe toegang, geheimen, openconnect, cloudflared en tokens. Er is vastgesteld dat de aanvaller 202 wiki-pagina's (uit 194100) en 36 probleemrapporten (uit 2059357) heeft geopend, gerelateerd aan het beheer van kwetsbaarheidsverwijdering en het roteren van sleutels. Ook was er een download van 120 code-repositories (uit 11904), waarvan de meeste verband hielden met back-ups, configuratie en beheer van CDN, identificatiesystemen, externe toegang en het gebruik van de platforms Terraform en Kubernetes. In sommige van deze repositories waren versleutelde sleutels in de code achtergelaten, die onmiddellijk na het incident zijn vervangen, ondanks het gebruik van betrouwbare versleutelingstechnieken.
Bron: opennet.ru
