Palo Alto Networks（派拓网络）首次发现Azurescape漏洞 可导致前所未有的云攻击

帕洛阿尔托网络公司（PaloAltoNetworks）首次发现Azurescape漏洞可以导致前所未有的云攻击在同一公共云服务的其他用户的环境中执行代码。前所未有的跨账户接管影响了微软的Azure容器即服务(CaaS)平台。由于攻击始于容器逃逸，研究人员将这一发现命名为Azurescape，这是一种能够从容器环境中提升权限的技术。在我们向Microsoft安全响应中心(MSRC)报告这些问题后，Microsoft立即采取行动修复这些潜在问题。我们尚不知道是否发生了Azurescape攻击，但Azure容器实例(ACI)平台的恶意用户有可能利用此漏洞在其他客户的容器上执行代码，而无需事先访问其环境。Azurescape允许ACI用户获得对整个容器集群的管理权限。从那里，用户可以接管受影响的多租户集群、执行恶意代码、窃取数据或破坏其他客户的底层基础设施。攻击者可以完全控制托管其他客户容器的Azure服务器，访问存储在这些环境中的所有数据和机密信息。Azurescape对云安全的警告公有云的运行基于多租户的概念。云服务提供商构建可以在单个平台上托管多个组织（或“租户”）的环境，为每个组织提供安全访问，同时通过构建大规模云基础设施实现前所未有的规模经济。虽然云供应商在保护这些多租户平台方面投入了大量资金，但长期以来人们一直认为可能存在未知的“零日”漏洞，并使客户面临来自同一云基础设施中其他实例的攻击风险。这一发现凸显了云用户需要采用“纵深防御”策略来保护云基础设施，包括持续监控云平台内部和外部的威胁。Azurescape的调查结果再次强调了云服务提供商为外部研究人员提供足够访问权限以研究其环境和探索未知威胁的重要性。作为PaloAltoNetworks推进公共云安全承诺的一部分，我们积极投资于研究，包括公共云平台和相关技术的高级威胁建模和漏洞测试。Microsoft与外部研究人员的行业领先合作将安全放在首位，并允许跨Azure进行外部渗透测试。我们很高兴这个项目为其他供应商树立了良好的榜样。安全研究方面的合作对于刺激创新以及推动和保护正在开发的云服务至关重要。我们还要感谢MSRC的奖励。Azurescape问题解答为了深入了解我们是如何发现Azurescape的，我建议阅读第42单元博客中的完整报告“寻找Azurescape-Azure容器实例中的跨帐户容器接管”。以下是有关Azurescape的工作原理以及被黑后该怎么办的一些提示：我被黑了吗？我们不知道在现实世界中是否发生过Azurescape攻击。该漏洞可能自ACI成立以来就存在，因此一些组织可能已经受到威胁。Azurescape还攻击了Azure虚拟网络中的ACI容器。ACI建立在托管客户容器的多租户集群上。最初这些是Kubernetes集群，但在过去一年中，Microsoft也开始在ServiceFabric集群上托管ACI。Azurescape只影响在Kubernetes上运行的ACI。我们不知道如何检查过去的ACI容器是否在Kubernetes上运行。如果你有一个现有的容器，你可以运行以下命令来检查它是否在Kubernetes上运行：azcontainerexec-n--exec-command"hostname"如果输出以wk-caas和如果容器在2021年8月31日之前开始运行，那么它可能已经受到了Azuresape的攻击。如果我认为自己受到攻击，我该怎么办？如果您在平台上部署了特权凭据，我们建议轮换它们并检查它们的访问日志是否存在可疑活动。像PrismaCloud这样的云原生安全平台可以提供对此类活动的可见性，并在适当的时候发出警报。攻击是如何进行的？Azurescape采用三步攻击。首先，攻击者必须破坏其ACI容器。其次，他们获得了对多租户Kubernetes集群的管理访问权限。第三，他们可以通过执行恶意代码来控制被攻击的容器。我们的研究从容器镜像WhoC开始，它可以揭开云平台底层容器运行时的神秘面纱。通过WhoC，我们发现可以通过CVE-2019-5736（runC中存在两年的漏洞）逃逸ACI容器。然后，我们能够确定两种不同的方法来在集群大脑（即api服务器）上执行代码。通过在api-server上执行代码，我们可以完全控制多租户集群。我们可以在客户容器上执行代码，窃取部署在ACI上的客户机密，甚至滥用平台基础设施进行加密挖掘。你认为会有更多的跨账户接管漏洞吗？过去几年向云计算的快速迁移使这些平台成为恶意行为者的主要目标。虽然我们长期以来一直专注于识别新的云威胁，但跨账户容器接管的首次发现凸显了这项工作的重要性。老练的攻击者可能不满足于以最终用户为目标，而是将他们的活动扩展到平台本身以获得更大的影响和范围。有什么方法可以让我为可能出现的类似漏洞做好准备吗？我们鼓励云用户对云安全采用“纵深防御”策略，以确保包含和检测到漏洞，无论威胁来自外部还是来自平台本身。安全左移、运行时保护和异常检测的结合提供了对抗类似跨账户攻击的最佳机会。防止任何云环境受到攻击的最佳方法是实施一个全面的云原生安全平台，例如PrismaCloud，它能够检测和缓解恶意行为并识别云环境中的漏洞。了解PrismaCloud如何保护混合云和多云环境中的基础架构、应用程序和数据。要了解有关Azurescape的更多信息，请参加ArielZelivansky和??YuvalAvrahami的网络研讨会“Azurescape：有关Microsoft的ACI漏洞的知识”。