Google Compute Engine est affecté par une faille de prise de contrôle

0

Une vulnérabilité de sécurité non corrigée affectant la plate-forme Compute Engine de Google pourrait être exploitée par un pirate informatique pour prendre le contrôle de machines virtuelles sur le réseau.

« Cela se fait en usurpant l’identité du serveur de métadonnées du point de vue de la machine virtuelle ciblée », a déclaré le chercheur en sécurité Imre Rad dans une analyse. « En lançant cet exploit, l’attaquant peut s’accorder l’accès via SSH (authentification par clé publique) afin qu’il puisse ensuite se connecter en tant qu’utilisateur root. »

Google Compute Engine (GCE) est un composant d’infrastructure en tant que service (IaaS) de Google Cloud Platform qui permet aux utilisateurs de créer et de lancer des machines virtuelles à la demande. Compute Engine fournit une méthode de stockage et de récupération des métadonnées sous la forme du serveur de métadonnées, qui offre un point central pour définir les métadonnées sous la forme de paires clé-valeur qui sont ensuite fournies aux machines virtuelles lors de l’exécution.

Selon le chercheur, le problème est causé par la faiblesse des nombres pseudo-aléatoires utilisés par le client DHCP ISC, ce qui entraîne un scénario dans lequel un adversaire crée plusieurs paquets DHCP à l’aide d’un ensemble d’identifiants de transaction précalculés (alias XID) et inonde le DHCP client de la victime, conduisant finalement à l’usurpation d’identité du serveur de métadonnées.

Le protocole DHCP (Dynamic Host Configuration Protocol) est un protocole de gestion de réseau utilisé pour automatiser le processus de configuration des périphériques sur les réseaux IP. Un serveur DHCP attribue dynamiquement une adresse IP et d’autres paramètres de configuration réseau à chaque périphérique client sur un réseau afin qu’ils puissent communiquer avec d’autres réseaux.

En frappant la machine virtuelle victime avec un flux de paquets DHCP, l’idée est de tirer parti du XID « prévisible » et de faire en sorte que le client accepte un paquet envoyé par un attaquant sur les paquets du serveur DHCP de Google, auquel cas la pile réseau sur la machine virtuelle victime peut être configurée pour utiliser le serveur de métadonnées non autorisé.

google compute engine

« Si le XID est correct, la machine victime applique la configuration réseau », a expliqué Rad dans la rédaction technique. « Il s’agit d’une condition de concurrence, mais comme le flot est rapide et exhaustif, le serveur de métadonnées n’a aucune chance réelle de gagner. À ce stade, l’attaquant est en mesure de reconfigurer la pile réseau de la victime.

Étant donné qu’un serveur de métadonnées peut être utilisé pour distribuer et gérer des clés SSH, un client – ayant maintenant établi une connexion TCP avec le serveur malveillant – peut récupérer la clé publique SSH de l’attaquant, qui peut ensuite être utilisée par l’attaquant pour ouvrir un shell distant en tant qu’utilisateur root.

Dans un scénario potentiel, la chaîne d’attaque susmentionnée peut être exploitée par un adversaire pour obtenir un accès complet à une machine virtuelle ciblée lors de son redémarrage ou via Internet dans les cas où le pare-feu de la plate-forme cloud est désactivé.

google compute engine

Google a été informé du problème le 27 septembre 2020, qui a depuis reconnu le rapport, le décrivant comme une « belle prise », mais n’a pas encore déployé de correctif ni fourni de calendrier pour la mise à disposition de la correction. .

« Jusqu’à ce que le correctif arrive, n’utilisez pas DHCP ou configurez une règle de pare-feu au niveau de l’hôte pour vous assurer que la communication DHCP provient du serveur de métadonnées (169.254.169.254) », a noté Rad. « Bloquez UDP/68 entre les machines virtuelles, afin que seul le serveur de métadonnées puisse exécuter DHCP. »

C’est loin d’être la première fois que Rad identifie des problèmes dans Google Cloud Platform.

En Septembre 2020, Google a rectifié une vulnérabilité d’élévation de privilèges locale dans l’outil OS Config qui pourrait être exploitée par un acteur disposant de droits d’exécution de code sur les machines virtuelles Google Compute Engine concernées pour effectuer des opérations non autorisées.

Plus tôt en Janvier, Rad a également découvert qu’il était possible d’exécuter du code arbitraire dans une machine virtuelle en obtenant un shell sur le service de base de données Cloud SQL. Le problème a été résolu par Google le 16 Février 2021.

Si cet article vous a plu, jetez un coup d’œil à nos bons plans.

Laisser un commentaire