Google Cloud Platform-ի (GCP) Cloud SQL ծառայությունում բացահայտվել է անվտանգության նոր խոցելիություն, որը կարող է օգտագործվել գաղտնի տվյալներին հասանելիություն ստանալու համար:
«Խոցելիությունը կարող է հնարավորություն տալ հաքերին սովորական օգտվողից ստանձնել fledged sysadmin-ի իրավասությունը՝ մուտք ունենալով դեպքի ներքին GCP տվյալներ, ինչպիսիք են՝ կոնֆիդենցիալ տվյալները, գաղտնի ֆայլերը, գաղտնաբառերը, հաճախորդների տվյալները», – նշում է իսրայելական Dig ընկերության փորձագետը:
Cloud SQL-ը՝ MySQL, PostgreSQL և SQL Server տվյալների բազաներ ստեղծելու համար լիովին կառավարվող լուծում է:
Dig ընկերության կողմից բացահայտված հարձակման շղթան կիրառեց ամպային հարթակի SQL Server-ի անվտանգության բացը՝ օգտատիրոջ արտոնությունները ադմինիստրատորի դերի վերածելու համար:
«Դեպի ներքին տվյալներ, ինչպիսիք են՝ կոնֆիդենցիալ ինֆորմացին, URL-ները և գաղտնաբառերը, մուտք գործելը կարող է հանգեցնել ամպային մատակարարների տվյալների և հաճախորդների կոնֆիդենցիալ տվյալների բացահայտմանն ու առևանգմանը, ինչը անվտանգության տեսանկյունից լուրջ խնդիր է», – նշում են Dig ընկերության փորձագետներ՝ Օֆիր Բալասիանոն և Օֆիր Շաթին:
Այս բացահայտումներինց հետո միայն Google-ը, 2023 թվականի ապրիլին, անդրադարձավ խնդրին և բարձրաձայնեց դրա մասին:
Google-ը հայտարարեց Automatic Certificate Management Environment (ACME)-ի API հասանելիության մասին՝ Google Cloud-ի բոլոր օգտատերերի համար, ովքեր անվճար սկզբունքով կարող են ձեռք բերել և թարմացնել իրենց TLS վկայագրերը:
Աղբյուրը՝ https://thehackernews.com/
