Secretos de Kubernetes de Empresas Fortune 500 Expuestos en Repositorios Públicos

Aqua encontró en repositorios públicos de GitHub credenciales de registros de contenedores que Kubernetes usa para descargar imágenes. De 438 registros revisados, 203 daban acceso real, en muchos casos con permiso para subir imágenes, y entre los afectados había empresas Fortune 500 y de blockchain.

Los investigadores de Aqua Yakir Kadkoda y Assaf Morag publicaron un estudio sobre secretos de Kubernetes subidos por error a repositorios públicos de GitHub. Entre los afectados había dos grandes empresas de blockchain y varias compañías Fortune 500. El problema no es solo la filtración: buena parte de esas credenciales seguían activas y permitían tanto descargar como publicar imágenes de contenedores, lo que abre la puerta a ataques a la cadena de suministro.

Qué buscaron y qué encontraron

Usando la API de GitHub, Aqua recuperó todas las entradas que contenían .dockerconfigjson y .dockercfg, los archivos donde Kubernetes guarda las credenciales para autenticarse ante un registro de imágenes. Identificó 438 registros que podían contener credenciales válidas. Al probarlas, 203, alrededor del 46%, funcionaban.

Según los investigadores, en la mayoría de los casos esas credenciales daban privilegios de extracción y de escritura (pull y push), y la mayoría de los registros alojaba además imágenes privadas. En la práctica, un atacante con ese acceso podría reemplazar una imagen legítima por una alterada y esperar a que el clúster de la víctima la despliegue.

Aqua también vio organizaciones que borran el secreto del archivo pero no del historial del repositorio: el commit anterior sigue siendo público y la credencial sigue expuesta.

Contraseñas débiles y algunas buenas noticias

De las contraseñas encontradas, 93 habían sido definidas a mano por personas y 345 eran generadas automáticamente. Cerca del 50% de esas 93 eran débiles: password, test123456, windows12, ChangeMe o dockerhub, entre otras.

No todo era explotable. Las credenciales de AWS y de Google Container Registry (GCR) eran temporales y ya habían caducado. GitHub Container Registry exigía autenticación de dos factores como barrera adicional. En otros casos la clave estaba cifrada o, aun siendo válida, tenía privilegios mínimos, por ejemplo para descargar un único artefacto o imagen.

El contexto acompaña: en el informe sobre el estado de la seguridad de Kubernetes de Red Hat, las vulnerabilidades y las malas configuraciones aparecieron como las principales preocupaciones en entornos de contenedores, y el 37% de 600 encuestados dijo haber perdido ingresos o clientes por un incidente de seguridad en contenedores y Kubernetes.

Por qué importa y qué hacer

Un registro de contenedores con permiso de escritura es una vía directa a producción: lo que se sube ahí se ejecuta en los clústeres sin que nadie lo revise. La diferencia entre las credenciales de AWS y GCR, que ya habían caducado, y las estáticas que seguían vivas muestra que los tokens temporales limitan el daño aunque se filtren. Para equipos que publican manifiestos o charts de Kubernetes en GitHub, el riesgo es concreto y fácil de auditar.

• Busca en tus repositorios, incluido el historial completo, archivos .dockerconfigjson y .dockercfg con herramientas de escaneo de secretos.
• Rota de inmediato cualquier credencial de registro que haya estado en un commit público, aunque ya la hayas borrado del archivo.
• Usa credenciales de corta duración para los registros y separa las cuentas de solo lectura (pull) de las de publicación (push).
• Exige 2FA en las cuentas humanas del registro y prohíbe contraseñas como las de la lista anterior.
• Activa la firma y verificación de imágenes en el clúster para que no se despliegue una imagen reemplazada.

Relacionado:
Ataques de PHP2Shell iniciaron cuatro días antes de la divulgación pública
AWS lanza un entorno de pruebas de código abierto para agentes de IA
Filtración de datos en McGraw Hill afecta a 13.5 millones de cuentas

Fuente:
https://thehackernews.com/2023/11/kubernetes-secrets-of-fortune-500.html

Nota elaborada por Ciberseguridad en español a partir de información publicada por The Hacker News. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.