Azure: falhas expuseram acesso ao Red-Hat Enterprise Linux (RHEL)

 

Vulnerabilidades na plataforma de nuvem Azure da Microsoft podem ter sido exploradas por atacantes para ganhar acesso de administrador para instâncias e contas de armazenamento do Red Hat Enterprise Linux (RHEL), de acordo com um engenheiro de software.

 

A Azure e a Amazon Web Services (AWS) contam com a infra-estrutura Red Hat Update (RHUI) para gerenciar o conteúdo do repositório "yum" para instâncias RHEL. Equipamentos de Atualizações Red Hat,  utilizados para contato com a rede Red Hat Network objetivando buscar pacotes novos e atualizados, foram criados pela Microsoft e Amazon para cada região.

 

Ao tentar criar uma imagem RHEL que poderia ser usada em ambos os serviços Azure e AWS, o pesquisador irlandês Ian Duffy notou que alguns arquivos Red Hat Package Manager (RPM) continha as configurações do cliente para cada regiãoIsto permitiu a descoberta de todos os aparelhos de Atualizações Red Hat, com todos os servidores expondo suas APIs REST sobre HTTPS.

 

Um aplicativo executado na porta 8080 revelou a localização dos arquivos que contêm arquivos de log e de configuração. Os arquivos incluíam certificados SSL que poderiam ser usados ​​para obter acesso administrativo completo para aparelhos de Atualizações Red Hat.

 

O acesso total à API REST de um aparelho e a falta de verificações de assinatura de pacote permitem a um invasor fazer upload de pacotes que seriam adquiridas por máquinas virtuais do cliente ao realizar uma atualização "yum". Desta forma, o atacante pode ter sido capaz de ganhar acesso ROOT (privilegiado) para todas as máquinas virtuais que executaram a atualização. Além de dados armazenados em máquinas virtuais, um invasor poderia ter sido capaz de obter acesso a contas de armazenamento .

 

As falhas foram relatados à Microsoft através do programa de recompensa por bugs. A gigante de tecnologia confirmou os problemas e tomou medidas para impedir o acesso do público ao aplicativo na porta 8080 e os Red Hat Update Applicances.

 

Please reload

Destaques
Please reload

Posts Recentes

December 12, 2016