Qubole AWS erişim açığı: Müşteri hesaplarından bulut gizli bilgileri çalındı

Bulut güvenlik şirketi Wiz, bir saldırganın 14-26 Ekim tarihleri arasında birden fazla Qubole müşterisinin AWS hesabına izinsiz erişim sağladığını ve saklanan gizli bilgileri ile verileri çaldığını bildirdi. Saldırganın, Qubole platformunun müşterilere erişmek için kullandığı AWS hesabına ait bilgileri nasıl elde ettiği açıklanmadı.
İşletme sahibi veri gölü platformu olan Qubole, Idera'nın iştirakidir ve müşterilerin kendi AWS hesapları içinde çalışır. Qubole'a erişim tanımlamak için müşteri tarafında bir IAM rolü oluşturulur ve bu rolun güven politikası, Qubole'un AWS hesabının bu rolü almasına izin verir. Rolün her AssumeRole istedi, Qubole'a özgü bir dış kimlik kodunu da içermelidir.

Saladığı nasıl gerçekleşti?​

Wiz araştırmacılarının teknik analizine göre, saldırgan tarafından yapılan her AssumeRole isteği, bir dış kimlik kodu taşıyordu ve AWS tarafından kabul edildi. AWS, istek güvenilir hesaptan gelip doğru dış kimlik kodunu içeriyorsa böyle bir rol için AssumeRole isteğini kabul eder. AWS'in rehberliğine göre dış kimlik kodu gizli bilgi olarak ele alınmaz ve role erişimi olan herkes tarafından görülebilir.
Sentra adlı kuruluş, çeşitli müşterilerinin ortamlarındaki bu aktivitenin farkına vardı ve araştırmacılara bildirdi. İncelenen hesaplarda saldırganın arama yaptığı bilgileniyor: Lambda işlevlerinin ortam değişkenleri, Secrets Manager'dan gizli bilgileri ve SSM Parametre deposundan değerler okundu. Saldırgan, bulduğu bu bilgilerin çalışan olup olmadığını test etmek için TruffleHog aracını çalıştırdı. Bu bilgiler kurbanların kendi AWS erişim anahtarları, Entra ID istemci gizli bilgileri ve Okta istemci kimlik bilgileriydi.

Çalınan veriler neler?​

Saldırgan ayrıca S3'ten veri kopyaladı. Rollere erişimi olan depolardan veri almak yerine belirli verileri aramak yerine, bazen tek bir oturumda tüm depoyu indirdi. Araştırmacılar bu kampanyayı herhangi bir kamuoyu bilinen başka faaliyetle ilişkilendirmedi ve hedeflemenin devlet destekli grupların genelde neyeye gittiğiyle tutarlı olmadığını belirtti.

İşletmeler nasıl kontrol edebilir?​

Qubole'a 1 Ekim'den bu yana bağlı olan tüm AWS hesaplarının CloudTrail loglarını incelemeleri tavsiye ediliyor. Dikkat edilecek belirtiler şunlar:

• Kullanıcı kimliğinin hesap ID'si 805246085872 olan ve AWS dışı bir IP'den gelen AssumeRole istekleri.
• AIDA3W7DIFLYOLTK63SFS ve AIDAJYRRH5Y3A7AAJM2HW IAM kullanıcıları üzerinden gelen anomali aktiviteler.
• 57.129.54[.]120 ve 2001:41d0:70d[:]7800:: gibi OVH üzerinden sağlanan IP'lerin varlığı.
• quiam- ile başlayan rol oturum adları ve TruffleHog kullanıcı ajansı.

\nBu tür şüpheli oturumlar için Secrets Manager, SSM, Lambda ve S3 üzerinden yapılan tüm işlemler incelenmelidir. S3 veri olayları veya sunucu erişim logları yoksa, okunan nesnelerin tam olarak hangileri olduğu belirlenemeyebilir.

Bu açığı kapatmanın yolları​

Qubole'ın bu güven modelini kullanan işletmeler, rolü alan tüm gizli bilgileri, parametreleri ve Lambda ortam değişkenlerini yenilemeli ve aktif oturumları iptal etmelidir. Artık ihtiyaç duyulmayan Qubole rolleri kaldırılmalı veya Qubole hesabı güven politikasından çıkarılmalıdır. Mümkünse `:root` yerine spesifik IAM kullanıcıları kullanılmalı ve AWS kaynağı IP veya VPC koşulları eklenmelidir. Araştırmacılar, kaynağı IP koşulu eklemenin gözlemledikleri tüm rol alımlarını engelleyeceğini belirtiyor.