В etcd обнаружена серьезная уязвимость

В программном обеспечении etcd, предназначенном для хранения данных в контейнерах и кластерах, обнаружена серьезная проблема с безопасностью. Как сообщил разработчик Джованни Коллацо (Giovanni Collazo) в своем блоге, в etcd аутентификация пользователей не является настройкой по умолчанию.

С помощью поисковой системы Shodan Коллацо выявил почти 2,3 тыс. серверов с etcd. Затем он написал скрипт для отправки запросов etcd API и запросил ключи авторизации всех учетных записей. В ответ исследователь получил свыше 8,7 тыс. паролей, а также несколько сотен секретных ключей AWS и других ключей API. По словам Коллацо, он не проверял подлинность полученных данных, однако уверен в том, что хотя бы некоторые из них являются достоверными.

«Любой, у кого есть минутка свободного времени, может получить список из сотен учетных данных для авторизации в базах данных и использовать их для похищения данных или осуществления атак с применением вымогательского ПО», - отметил исследователь.

Подобная проблема уже всплывала раньше в связи с MongoDB. Обязательная аутентификация в базах данных MongoDB не являлась настройкой по умолчанию и позволяла устанавливать ПО любому желающему. Этим воспользовались хакеры, обрушившие на незащищенные серверы MongoDB атаки вымогателей в январе прошлого года.