Azure: falhas expuseram acesso ao Red-Hat Enterprise Linux (RHEL)


Vulnerabilidades na plataforma de nuvem Azure da Microsoft podem ter sido exploradas por atacantes para ganhar acesso de administrador para instâncias e contas de armazenamento do Red Hat Enterprise Linux (RHEL), de acordo com um engenheiro de software.


A Azure e a Amazon Web Services (AWS) contam com a infra-estrutura Red Hat Update (RHUI) para gerenciar o conteúdo do repositório "yum" para instâncias RHEL. Equipamentos de Atualizações Red Hat, utilizados para contato com a rede Red Hat Network objetivando buscar pacotes novos e atualizados, foram criados pela Microsoft e Amazon para cada região.


Ao tentar criar uma imagem RHEL que poderia ser usada em ambos os serviços Azure e AWS, o pesquisador irlandês Ian Duffy notou que alguns arquivos Red Hat Package Manager (RPM) continha as configurações do cliente para cada região. Isto permitiu a descoberta de todos os aparelhos de Atualizações Red Hat, com todos os servidores expondo suas APIs REST sobre HTTPS.


Um aplicativo executado na porta 8080 revelou a localização dos arquivos que contêm arquivos de log e de configuração. Os arquivos incluíam certificados SSL que poderiam ser usados ​​para obter acesso administrativo completo para aparelhos de Atualizações Red Hat.


O acesso total à API REST de um aparelho e a falta de verificações de assinatura de pacote permitem a um invasor fazer upload de pacotes que seriam adquiridas por máquinas virtuais do cliente ao realizar uma atualização "yum". Desta forma, o atacante pode ter sido capaz de ganhar acesso ROOT (privilegiado) para todas as máquinas virtuais que executaram a atualização. Além de dados armazenados em máquinas virtuais, um invasor poderia ter sido capaz de obter acesso a contas de armazenamento .


As falhas foram relatados à Microsoft através do programa de recompensa por bugs. A gigante de tecnologia confirmou os problemas e tomou medidas para impedir o acesso do público ao aplicativo na porta 8080 e os Red Hat Update Applicances.


Destaques
Posts Recentes
Arquivo
Busca por Tags
Siga-nos
  • LinkedIn Social Icon

Copyright © 2014-2017 Big Blue Serviços Ltda  - Todos os Direitos Reservados                                                                          Arte/Criação: OASYS