Chainstack: Sicherheitsvorfall durch ungeschützte Admin-Tools verursacht

Chainstack hat weitere technische Details zu dem Sicherheitsvorfall veröffentlicht, den das Unternehmen erstmals am 3. November bekannt gegeben hatte. Der aktualisierte Bericht, der am 10. November veröffentlicht wurde, beschreibt einen Vorfall im Oktober, der auf Konfigurations- und Zugriffssteuerungsfehlern basierte. Das Unternehmen fand keine Hinweise darauf, dass eine Software-Schwachstelle ausgenutzt wurde.

Fehler in der Zugriffssteuerung

Laut Chainstack verschaffte sich der Angreifer Zugang über eine Entwicklungsinstanz von Grafana mit unveränderten Standard-Administratoranmeldedaten. Ein nicht authentifizierter Tool-Server mit weitreichenden Kubernetes-Berechtigungen war ebenfalls Teil des Zugangswegs. Maschinenanmeldedaten verbanden zudem die Entwicklungs- und Produktionsumgebungen.

Die operative Lehre daraus ist, dass ein Konto nach dem ersten Login weitreichende Auswirkungen haben kann. Ein unauffälliger Testdienst kann bedeutend werden, wenn er Zugang zu sensiblen Systemen hat oder Privilegien besitzt, die über seine unmittelbare Aufgabe hinausgehen.

Maßnahmen für Kunden

Der Bericht identifiziert Kontonamen, Organisationsdetails, E-Mail-Adressen und Passwort-Hashes als potenziell offengelegt. Es wird davon ausgegangen, dass Node-Anmeldedaten offengelegt wurden, obwohl keine Beweise dafür gefunden wurden, dass sie gelesen wurden. Kunden werden aufgefordert, Passwörter zu ändern, Node-Anmeldedaten zu rotieren und Plattform-API-Schlüssel neu zu generieren, wo sie verwendet wurden.

Ein Passwort-Hash und ein funktionierendes Zugriffstoken stellen unterschiedliche Probleme dar. Hashes sind Darstellungen von Passwörtern, während ein aktives Token direkt Anfragen autorisieren kann. Das Ersetzen eines Login-Passworts kann daher nicht davon ausgehen, dass alle anderen Anmeldedaten einer Anwendung ungültig werden.

Abschluss der Anmeldedatenrotation

Die Dokumentation von Chainstack beschreibt einen gestuften Rotationsprozess für Anmeldedaten. Neue Anmeldedaten werden generiert, während die bestehenden aktiv bleiben. Anwendungen können dann auf die neuen Anmeldedaten umgestellt werden, bevor die alten deaktiviert werden.

Die Dokumentation besagt, dass beide Sätze bis zum endgültigen Schritt weiter funktionieren, ohne automatische Zeitbegrenzung. Der Abschluss der Rotation lehnt dauerhaft Anfragen mit den vorherigen Anmeldedaten ab. Eine Node-Rotation ändert jedoch nicht ein Multichain-Authentifizierungstoken.

Für einen Betreiber reduziert die Überlappung das Risiko, einen funktionierenden Dienst während der Aktualisierung von Anwendungen zu unterbrechen. Die entsprechende Verantwortung besteht darin, die Migration abzuschließen. Allein das Generieren eines Ersatzes lässt die vorherigen Zugangsmöglichkeiten bestehen.

Bekanntes Designproblem

Die Sicherheitsrichtlinien von Grafana warnen davor, dass Dienste in seinem lokalen Netzwerk über seinen Datenquellen-Proxy erreichbar sein können. Es werden Kontrollen beschrieben, wie das Einschränken erlaubter Ziele und die Verwendung von Firewall-Regeln, um den Zugang zu sensiblen internen Diensten zu beschränken.

Diese Vorsichtsmaßnahmen adressieren, was ein Tool erreichen kann, sowie wer sich einloggen kann. Authentifizierung und Netzwerkgrenzen erfüllen unterschiedliche Aufgaben; Berechtigungslimits bieten eine weitere Schicht, falls eine der Grenzen versagt.

Chainstack bietet seinen Kunden mit dem erweiterten Bericht mehr Details zur Bewertung. Der verbleibende Test besteht darin, ob die Zugangsänderungen abgeschlossen sind und ob die überarbeiteten Kontrollen verhindern können, dass ein kompromittierter Dienst weit über seine beabsichtigte Rolle hinausreicht.