Secretos de Kubernetes de Empresas Fortune 500 Expuestos en Repositorios Públicos
"Estos secretos de configuración de Kubernetes codificados se cargaron en repositorios públicos", dijeron los investigadores de seguridad de Aqua, Yakir Kadkoda y Assaf Morag, en una nueva investigación publicada a principios de esta semana.
Algunas de las empresas afectadas incluyen dos de las principales empresas de blockchain y varias otras empresas Fortune 500, según la firma de seguridad en la nube, que utilizó la API de GitHub para recuperar todas las entradas que contenían .dockerconfigjson y .dockercfg, que almacenan credenciales para acceder a un registro de imágenes de contenedores.
De los 438 registros que potencialmente contenían credenciales válidas para registros, 203 registros, aproximadamente el 46%, contenían credenciales válidas que proporcionaban acceso a los registros respectivos. Noventa y tres de las contraseñas fueron establecidas manualmente por individuos, en comparación con las 345 que fueron generadas por computadora.
"En la mayoría de los casos, estas credenciales permitían privilegios tanto para extraer como para empujar", señalaron los investigadores. "Además, a menudo descubrimos imágenes de contenedores privados dentro de la mayoría de estos registros".
Además, cerca del 50% de las 93 contraseñas se consideraron débiles. Esto incluía contraseñas como password, test123456, windows12, ChangeMe y dockerhub, entre otras.
"Esto subraya la necesidad crítica de políticas de contraseñas organizativas que impongan estrictas reglas de creación de contraseñas para evitar el uso de contraseñas vulnerables", agregaron los investigadores.
Aqua también encontró casos en los que las organizaciones no eliminan secretos de los archivos que se comprometen en repositorios públicos en GitHub, lo que lleva a una exposición inadvertida.
Pero en una nota positiva, todas las credenciales asociadas con AWS y Google Container Registry (GCR) resultaron ser temporales y caducadas, lo que hacía imposible el acceso. De manera similar, el GitHub Container Registry requería autenticación de dos factores (2FA) como una capa adicional contra el acceso no autorizado.
"En algunos casos, las claves estaban cifradas y, por lo tanto, no se podía hacer nada con la clave", dijeron los investigadores. "En algunos casos, aunque la clave era válida, tenía privilegios mínimos, a menudo solo para extraer o descargar un artefacto o imagen específica".
Según el Informe sobre el Estado de la Seguridad de Kubernetes de Red Hat publicado a principios de este año, las vulnerabilidades y las malas configuraciones surgieron como las principales preocupaciones de seguridad con los entornos de contenedores, con un 37% de los 600 encuestados identificando la pérdida de ingresos/clientes como resultado de un incidente de seguridad de contenedores y Kubernetes.
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario