Descubren grave fallo de diseño en Google Cloud Build que permite ataques de Privilege Escalation y acceso no autorizado a repositorios de código e imágenes en Artifact Registry.
El equipo de investigación de Orca Security ha encontrado un defecto crítico en el servicio Google Cloud Build llamado Bad.Build. Este fallo permite a los atacantes escalar privilegios y obtener acceso no autorizado a repositorios de código en Artifact Registry.
El problema representa un riesgo significativo para la cadena de suministro, ya que permite a los atacantes manipular maliciosamente las imágenes de aplicaciones, que luego pueden infectar a los usuarios y clientes cuando instalan la aplicación. Este tipo de ataque puede tener consecuencias graves, como se ha visto en incidentes anteriores de cadena de suministro como SolarWinds, 3CX y MOVEit.
Orca Security reportó inmediatamente el hallazgo al equipo de seguridad de Google, quienes desplegaron una solución parcial. Sin embargo, esta solución no revoca completamente el vector de Privilege Escalation descubierto, lo que deja a las organizaciones vulnerables a un mayor riesgo en la cadena de suministro. Por lo tanto, se requiere que los equipos de seguridad implementen medidas adicionales para protegerse contra este riesgo.
El Bad.Build design flaw permite a los atacantes explotar la cuenta de servicio predeterminada de Google Cloud Build para manipular imágenes en Artifact Registry e inyectar código malicioso. Las aplicaciones construidas a partir de estas imágenes manipuladas pueden sufrir ataques de denegación de servicio, robo de datos y propagación de malware.
La investigación muestra que, incluso si las aplicaciones con imágenes maliciosas se implementan en los entornos de los clientes (ya sea localmente o en semiservicio), el riesgo se extiende desde el entorno de la organización que suministra la aplicación hasta los entornos de los clientes, creando un ataque de cadena de suministro similar a lo ocurrido en los incidentes de SolarWinds y MOVEit.
Google implementó una solución parcial revocando un permiso de la cuenta de servicio Cloud Build. Sin embargo, el riesgo persiste debido a que la acción de Escalada de Privilegios (PE) descubierta no se ha revocado por completo. Se recomienda a las organizaciones prestar atención al comportamiento de la cuenta de servicio predeterminada de Google Cloud Build para detectar posibles comportamientos maliciosos. También se sugiere aplicar el principio de privilegio mínimo y utilizar capacidades de detección y respuesta en la nube para identificar anomalías y reducir el riesgo.
Orca Security destaca que el descubrimiento de Bad.Build es un recordatorio de la creciente amenaza representada por el malware avanzado en Android. Estos paquetes de spyware pueden recopilar una amplia gama de datos de los dispositivos infectados.
Una presentación en vivo de las tácticas de ataque de la cadena de suministro a través del servicio Google Cloud Build, así como recomendaciones para fortalecer las defensas, se llevará a cabo el jueves 20 de julio a las 2:00 p.m. ET / 11:00 a.m. PT.
Google Cloud Build es un servicio de integración y entrega continua (CI/CD) administrado proporcionado por Google Cloud que permite automatizar el proceso de construcción, prueba e implementación de software en múltiples lenguajes. Se integra con otros servicios de Google Cloud, como Artifact Registry, Google Kubernetes Engine y App Engine.
Orca Security descubrió el vector de Privilege Escalation conocido como Bad.Build en el servicio Google Cloud Build. Esto permite a los atacantes realizar un Privilege Escalation y obtener acceso no autorizado a los repositorios de código en Artifact Registry de Google. Los atacantes pueden manipular imágenes en Artifact Registry e inyectar código malicioso, lo que afecta a las aplicaciones construidas a partir de estas imágenes y puede provocar ataques de denegación de servicio, robo de datos y propagación de malware.
La solución parcial implementada por Google revoca un permiso de la cuenta de servicio Cloud Build, pero el riesgo persiste debido a que el vector de Privilege Escalation aún no se ha revocado completamente. Se recomienda a las organizaciones estar atentas al comportamiento de la cuenta de servicio Cloud Build y aplicar el principio de privilegio mínimo para reducir el riesgo.
Una presentación en vivo sobre las tácticas de ataque de la cadena de suministro a través de Google Cloud Build y recomendaciones para fortalecer las defensas se llevará a cabo el 20 de julio.
Es importante que las organizaciones afectadas por este fallo tomen medidas para proteger sus sistemas y datos contra posibles ataques de la cadena de suministro.
https://orca.security/resources/blog/bad-build-google-cloud-build-potential-supply-chain-attack-vulnerability/
%2014.04.55.png)
