Tổng quan về Lỗ hổng:
- Lỗ hổng ImageRunner được phát hiện bởi Tenable Research và có thể cho phép kẻ tấn công truy cập vào dữ liệu nhạy cảm được lưu trữ trong các hình ảnh container riêng tư trên Google Cloud Run.
- Lỗi này liên quan đến việc xử lý quyền không đúng cách cho các danh tính có quyền chỉnh sửa phiên bản Google Cloud Run. Kẻ tấn công với các quyền cụ thể (run.services.update và iam.serviceAccounts.actAs) có thể sửa đổi một dịch vụ Cloud Run và triển khai một phiên bản mới, trỏ đến một hình ảnh container riêng tư mà không cần quyền truy cập vào kho lưu trữ.
Tác động và Khai thác:
- Lỗ hổng này đã khiến các hình ảnh nhạy cảm, bao gồm mã ứng dụng độc quyền và bí mật, bị truy cập trái phép. Kẻ tấn công có thể chèn các hướng dẫn độc hại vào cấu hình dịch vụ trong quá trình triển khai, dẫn đến việc tách dữ liệu, trích xuất bí mật hoặc toàn bộ sự xâm phạm hình ảnh container nhạy cảm.
- Tenable đã chứng minh cách một kẻ tấn công có thể sử dụng hình ảnh Netcat (ncat) để thiết lập một shell đảo ngược nhằm truy cập trái phép vào các hình ảnh riêng tư.
Phản ứng và Khắc phục của Google:
- Google đã khắc phục vấn đề này vào tháng 1 năm 2025 bằng cách thực hiện các kiểm tra bổ sung để đảm bảo rằng bất kỳ danh tính nào cập nhật hoặc triển khai một dịch vụ Cloud Run phải có quyền đọc rõ ràng cho các hình ảnh container liên quan.
- Biện pháp khắc phục đã được triển khai như một “thay đổi nghiêm trọng” vào ngày 28 tháng 1 năm 2025, sau một Thông báo Dịch vụ Bắt buộc được gửi đến các chủ dự án, thư mục và tổ chức bị ảnh hưởng vào cuối tháng 11 năm 2024.
- Cập nhật hiện cần quyền truy cập đọc rõ ràng vào hình ảnh container, ngăn chặn kẻ tấn công vượt qua các quyền quan trọng như “Người xem đối tượng lưu trữ” hoặc “Người đọc kho lưu trữ đối tượng.”
Khuyến nghị Bảo mật:
- Các tổ chức được khuyên nên xem xét các vai trò và quyền IAM một cách cẩn thận, đảm bảo chỉ có những đặc quyền cần thiết được cấp cho các danh tính trong các dự án của họ.
- Sự cố này nhấn mạnh tầm quan trọng của việc kiểm soát truy cập nghiêm ngặt và các cuộc kiểm tra bảo mật định kỳ trong các môi trường đám mây, đặc biệt khi việc áp dụng đám mây ngày càng gia tăng.
