Ungepatchter Fehler bei der Übernahme von virtuellen Maschinen betrifft Google Compute Engine

  • Eine ungepatchte Sicherheitslücke in der Compute-Engine-Plattform von Google könnte von einem Angreifer missbraucht werden, um virtuelle Maschinen über das Netzwerk zu übernehmen.

    “Dies geschieht durch die Imitation des Metadaten-Servers aus der Sicht der anvisierten virtuellen Maschine”, so der Sicherheitsforscher Imre Rad in einer am Freitag veröffentlichten Analyse. “Mit diesem Exploit kann sich der Angreifer über SSH (Public-Key-Authentifizierung) Zugang verschaffen und sich dann als Root-User anmelden.”

    Google Compute Engine (GCE) ist eine Infrastructure-as-a-Service (IaaS)-Komponente der Google Cloud Platform, die es Nutzern ermöglicht, virtuelle Maschinen (VMs) nach Bedarf zu erstellen und zu starten. GCE bietet eine Methode zum Speichern und Abrufen von Metadaten in Form des Metadatenservers, der einen zentralen Punkt zum Festlegen von Metadaten in Form von Schlüssel-Wert-Paaren bietet, die dann den virtuellen Maschinen zur Laufzeit zur Verfügung gestellt werden.

    [Blocked Image: https://thehackernews.com/images/-W-YXfspkl8I/YMt1op6vO6I/AAAAAAAA4Q4/SnWv_Gbl-RMg2BM3YaU9IL1sLek-JjiUACLcBGAsYHQ/s728-e100/free-ad-9-728.png]

    Laut dem Forscher ist das Problem eine Folge schwacher Pseudo-Zufallszahlen, die vom ISC-DHCP-Client verwendet werden. Dies führt zu einem Szenario, in dem ein Angreifer mehrere DHCP-Pakete unter Verwendung eines Satzes von vorberechneten Transaktionskennungen (aka XIDs) bastelt und den DHCP-Client des Opfers überflutet, was letztendlich zur Impersonation des Metadaten-Servers führt.

    Das Dynamic Host Configuration Protocol (DHCP) ist ein Netzwerkverwaltungsprotokoll, das zur Automatisierung des Prozesses der Gerätekonfiguration in IP-Netzwerken verwendet wird. Ein DHCP-Server weist jedem Client-Gerät in einem Netzwerk dynamisch eine IP-Adresse und andere Netzwerkkonfigurationsparameter zu, damit sie mit anderen Netzwerken kommunizieren können.

    [Blocked Image: https://thehackernews.com/images/-dt9cvPg-974/YNsaMhIhVLI/AAAAAAAADBk/wdKzUUx1gao-o82hgSqAoPH8PzgQB3dtQCLcBGAsYHQ/s728-e1000/code.jpg]

    “Wenn die XID korrekt ist, wendet die Opfer-Maschine die Netzwerkkonfiguration an”, erklärt Rad in dem technischen Schreiben. “Dies ist eine Race Condition, aber da die Flut schnell und erschöpfend ist, hat der Metadatenserver keine echte Chance zu gewinnen. An diesem Punkt ist der Angreifer in der Lage, den Netzwerk-Stack des Opfers zu rekonfigurieren.”

    Da ein Metadatenserver zur Verteilung und Verwaltung von SSH-Schlüsseln verwendet werden kann, kann ein Client – der nun eine TCP-Verbindung zum Schurkenserver aufgebaut hat – den öffentlichen SSH-Schlüssel des Angreifers abrufen, der dann vom Angreifer verwendet werden kann, um eine Remote-Shell als Root-Benutzer zu öffnen.

    In einem potenziellen realen Szenario kann die oben beschriebene Angriffskette von einem Angreifer missbraucht werden, um vollständigen Zugriff auf eine anvisierte virtuelle Maschine zu erlangen, während diese neu gebootet wird oder über das Internet, wenn die Firewall der Cloud-Plattform ausgeschaltet ist.

    [Blocked Image: https://thehackernews.com/images/-SBDa0OwIyQY/YLy9M341QGI/AAAAAAAA4BM/m6-TrBrJenABekCqMu1Gp2XbmtAaeHd9ACLcBGAsYHQ/s300-e100/auth_300.jpg]

    Google wurde am 27. September 2020 über das Problem informiert und hat den Bericht inzwischen bestätigt und als “netten Fang” bezeichnet, muss aber noch einen Patch ausrollen oder einen Zeitplan angeben, wann die Korrektur zur Verfügung gestellt wird.

    “Bis der Fix eintrifft, sollten Sie kein DHCP verwenden oder eine Firewall-Regel auf Host-Ebene einrichten, um sicherzustellen, dass die DHCP-Kommunikation vom Metadaten-Server (169.254.169.254) kommt”, so Rad. “Blockieren Sie UDP/68 zwischen den VMs, so dass nur der Metadatenserver DHCP ausführen kann.”

    Dies ist bei weitem nicht das erste Mal, dass Rad Probleme in der Google Cloud Platform identifiziert hat.

    Im September 2020 hat Google eine lokale Schwachstelle zur Privilegienerweiterung im OS Config-Tool behoben, die von einem Akteur mit Code-Ausführungsrechten auf den betroffenen GCE-VMs ausgenutzt werden konnte, um nicht autorisierte Operationen durchzuführen.

    Anfang Januar dieses Jahres stellte Rad außerdem fest, dass es möglich war, die Ausführung von beliebigem Code in einer virtuellen Maschine zu erreichen, indem eine Shell auf dem Cloud SQL-Datenbankdienst erlangt wurde. Das Problem wurde von Google am 16. Februar 2021 behoben.

    Fanden Sie diesen Artikel interessant? Folgen Sie THN auf Facebook, Twitter und LinkedIn, um weitere exklusive Inhalte zu lesen, die wir veröffentlichen.

    Einige Teile dieses Artikels stammen aus:
    thehackernews.com