大量Kubernetes機密暴露，波及多家軟體開發商上游

2023 / 11 / 27

編輯部

外媒報導Aqua Security 公司在公共存儲庫中發現Kubernetes secret (機密)，這些機密可讓惡意行為者訪問軟體發展生命週期 (SDLC) 中的敏感環境，並引發嚴重的供應鏈攻擊威脅。

研究團隊警告稱，涉及的公司包括SAP的Artifacts管理系統、兩家重要區塊鏈公司和其他知名公司。這些Kubernetes配置機密已被編碼的並上傳到了公共程式碼儲存庫中。

Kubernetes機密對於在開源容器編排環境中管理敏感性資料至關重要。然而，這些機密通常以未加密的形式存儲在API伺服器的底層資料存儲庫中，使其容易受到攻擊。

AquaSecurity團隊警告，兩種Kubernetes機密：dockercfg和dockerconfigjson在數百個公共程式碼儲存庫中可以找到，影響範圍涉及個人、開源專案和大型組織。Aqua Security研究團隊使用GitHub的API進行搜索，檢索包含.dockerconfigjson和.dockercfg的所有項目。初始查詢結果超過8000個，在進一步的細化搜索僅包括那些包含以base64編碼的用戶名和密碼值的記錄後，找到了438個可能包含有效憑證的記錄。其中203個記錄包含了提供對相應網路註冊管理存取權限的有效憑證。在大多數情況下，這些憑證允許提權。

Aqua團隊表示，許多軟體開發商會忽略上傳到GitHub公共程式碼前將檔案中的機密刪除，因而暴露敏感資訊。這些機密只需要一個base64解碼命令就可以以明文形式顯示出來。

Aqua 點出Artifacts 儲存庫金鑰曝光非常危險。潛在威脅包括專有程式碼洩露、資料外洩以及供應鏈攻擊的風險，所有這些都可能損害組織的完整性和客戶的安全。

兩家頂級區塊鏈公司的網路註冊管理秘密以及與 2,948 個獨特容器映像相關的有效 Docker hub 憑證也曝光。

本文轉載自SecurityWeek。

SDLC 軟體發展生命週期 Kubernetes 容器安全