От достъп до един контейнер до целия слой с данни

Предизвикателството

Доставчик, който обработва регулирани банкови данни за множество банки, искаше да установи какво би могъл да засегне нападател с възможност да изпълнява код в продукционен контейнер на приложението.

Как се разви

1. Започнахме със симулиран достъп до един продукционен контейнер на приложението.
2. Прочетохме дешифрирани тайни, оставени в открит вид при стартирането на контейнера.
3. Установихме, че акаунтът на приложението има права на суперпотребител в достъпния клъстер от бази данни.
4. Чрез метаданни потвърдихме права за четене и запис в десетки бази на клиентски организации, централен набор от данни за кредитен риск и споделеното хранилище за SSO, без да четем клиентски данни.
5. Възстановихме продукционния ключ за подписване на сесии и потвърдихме валидността му офлайн чрез възпроизвеждане на реален подпис. Това позволява подправяне на сесии за всеки потребител, роля или клиентска организация.
6. От същата достъпна конфигурация възстановихме ключ за внедряване чрез GitOps и партньорски ключове за трансфер, съхранявани заедно с паролите си.

Въздействие

Достъпът до един контейнер позволяваше достъп до данните на различни клиентски организации, подправяне на сесии за всеки акаунт и компрометиране на механизми за внедряване на софтуера.

Резултат

Доказахме цялата верига стъпка по стъпка и предадохме план за най-спешните корекции (P0) в рамките на 24 часа: подмяна на ключа за подписване на сесии, ограничаване на правата на акаунта за базата данни и подмяна на ключовете за внедряване и партньорски трансфер. Обхватът на достъпа беше установен само чрез метаданни — не бяха прочетени редове с клиентски данни.