يكشف الباحثون عن ثغرة أمنية في وظيفة ConfusedFunction في Google Cloud Platform

25 يوليو 2024غرفة الأخبارالأمن السحابي / الضعف

كشف باحثو الأمن السيبراني عن ثغرة أمنية في تصعيد الامتيازات تؤثر على خدمة الوظائف السحابية في Google Cloud Platform والتي يمكن للمهاجم استغلالها للوصول إلى الخدمات الأخرى والبيانات الحساسة بطريقة غير مصرح بها.

يمكن الدفاع عنها منح الثغرة الأمنية اسمها ConfusedFunction.

وقالت شركة إدارة التعرض في بيان: “يمكن للمهاجم تصعيد امتيازاته إلى حساب خدمة Cloud Build الافتراضي والوصول إلى العديد من الخدمات مثل Cloud Build والتخزين (بما في ذلك الكود المصدري للوظائف الأخرى) وسجل القطع الأثرية وسجل الحاويات”.

“يسمح هذا الوصول بالحركة الجانبية وتصعيد الامتيازات في مشروع الضحية، للوصول إلى البيانات غير المصرح بها وحتى تحديثها أو حذفها.”

وظائف السحابة يشير إلى بيئة تنفيذ بدون خادم تسمح للمطورين بإنشاء وظائف ذات غرض واحد يتم تشغيلها استجابة لأحداث سحابية محددة دون الحاجة إلى إدارة خادم أو تحديث الأطر.

تتعلق المشكلة التي اكتشفها Tenable بحقيقة أنه يتم إنشاء حساب خدمة Cloud Build في الخلفية وربطه بمثيل Cloud Build افتراضيًا عند إنشاء وظيفة Cloud أو تحديثها.

يفتح حساب الخدمة هذا الباب أمام أي نشاط ضار محتمل بسبب أذوناته المفرطة، مما يسمح للمهاجم الذي لديه حق الوصول بإنشاء وظيفة سحابية أو تحديثها للاستفادة من هذه الثغرة وتصعيد امتيازاته إلى حساب الخدمة.

ويمكن بعد ذلك إساءة استخدام هذا الإذن للوصول إلى خدمات Google Cloud الأخرى التي تم إنشاؤها أيضًا جنبًا إلى جنب مع وظيفة السحابة، بما في ذلك Cloud Storage وArtifact Registry وContainer Registry. في سيناريو الهجوم الافتراضي، يمكن استغلال ConfusedFunction لتسريب الرمز المميز لحساب خدمة Cloud Build عبر خطاف ويب.

بعد الإفصاح المسؤول، قامت Google محدث السلوك الافتراضي بحيث يستخدم Cloud Build ملف حساب الخدمة الافتراضي لمحرك الحساب لمنع سوء الاستخدام. ومع ذلك، تجدر الإشارة إلى أن هذه التغييرات لا تنطبق على الحالات الموجودة.

وقالت ليف ماتان، الباحثة في شركة Tenable: “تسلط ثغرة ConfusedFunction الضوء على السيناريوهات الإشكالية التي قد تنشأ بسبب تعقيد البرامج والتواصل بين الخدمات في خدمات مزود السحابة”.

“على الرغم من أن إصلاح GCP قد قلل من خطورة المشكلة بالنسبة لعمليات النشر المستقبلية، إلا أنه لم يحلها تمامًا. وذلك لأن نشر وظيفة السحابة لا يزال يؤدي إلى إنشاء خدمات GCP المذكورة أعلاه. ونتيجة لذلك، لا يزال يتعين على المستخدمين تعيين الحد الأدنى من الأذونات ولكن لا تزال واسعة نسبيًا لحساب خدمة Cloud Build كجزء من نشر الوظيفة.”

يأتي هذا التطوير في الوقت الذي قامت فيه Outpost24 بتفصيل ثغرة متوسطة الخطورة في البرمجة النصية عبر المواقع (XSS) في Oracle Integration Cloud Platform والتي يمكن تسليحها لإدخال تعليمات برمجية ضارة في التطبيق.

كان الخلل المتجذر في التعامل مع المعلمة “consumer_url”. تم الحل بواسطة Oracle في تحديث التصحيح الحرج (CPU) الذي تم إصداره في وقت سابق من هذا الشهر.

“صفحة إنشاء تكامل جديد، الموجودة على https://.integration.ocp.oraclecloud.com/ic/integration/home/faces/link?page=integration&consumer_url=، لم تتطلب أي شيء آخر المعلمات”، الباحث الأمني ​​فيليب نيكويست قال.

“وهذا يعني أن المهاجم سيحتاج فقط إلى تحديد معرف المثيل لمنصة التكامل المحددة لإرسال حمولة وظيفية إلى أي مستخدم للنظام الأساسي. وبالتالي، يمكن للمهاجم تجاوز متطلبات معرفة معرف تكامل محدد، والذي عادةً ما يكون يمكن الوصول إليها فقط للمستخدمين الذين قاموا بتسجيل الدخول.”

كما أنه يتبع Assetnote اكتشاف من ثلاث ثغرات أمنية في منصة الحوسبة السحابية ServiceNow (CVE-2024-4879، وCVE-2024-5178، وCVE-2024-5217) والتي يمكن تحويلها إلى سلسلة استغلال من أجل الوصول الكامل إلى قاعدة البيانات وتنفيذ تعليمات برمجية عشوائية على في سياق منصة الآن.