Un investigador de seguridad ha revelado una brecha importante en el servicio TiDB Cloud de PingCAP, que expuso 10.6 TB de datos distribuidos en 4,901,203 archivos y 180,046 organizaciones inquilinas. La exfiltración se produjo durante casi dos meses, con 88 exportaciones consecutivas cada seis horas del plano de control de producción que pasaron desapercibidas del 8 al 30 de septiembre.
Los datos comprometidos incluyen 115,308 claves API de cliente en texto plano (42,612 aún activas), 403,262 correos electrónicos únicos, 20,645,574 declaraciones SQL de clientes, y 5,036,738 IPs de servidores de clientes. El atacante también accedió a 377,446 problemas de Jira, 433,928 contactos CRM, y 413 repositorios de código privado. Usando credenciales encontradas en los propios repositorios de PingCAP, el atacante configuró una alimentación de replicación que reexportaba automáticamente la base de datos operativa completa cada seis horas. La brecha expuso información sensible de clientes, incluyendo tablas de profesionales médicos y listas de pacientes de una clínica brasileña. PingCAP afirma que TiDB Cloud es segura para bancos, estudios de videojuegos y plataformas de comercio electrónico, pero este incidente demuestra brechas significativas en la supervisión y detección de servicios en la nube. El modelo de negocio completo de la empresa se basa en la seguridad de su plataforma compartida y multitenant.
La base de datos del plano de control (metadb) se replicó en su totalidad, conteniendo 292,276 registros de usuarios con 166,108 nombres reales, 388,861 proyectos, 3,448,054 clusters serverless, y 16,299 clusters dedicados. Además, 1,809 endpoints de base de datos externos fueron comprometidos, proporcionando acceso root y admin a hosts MySQL/Aurora de clientes. La brecha también expuso 290 IDs de cuenta AWS de clientes y 85 IDs de proyecto GCP de registros de peering VPC.
Los logs de acceso al gateway revelaron el directorio de instalación completo de la empresa de base de datos, mostrando el volumen de conexiones de cada cliente, direcciones IP de servidores de aplicaciones y programas de cliente. Estos datos proporcionan un mapa de targeting integral para ataques adicionales contra clientes de TiDB Cloud.
El incidente resalta la importancia crítica de una configuración y monitoreo adecuados de la seguridad en la nube, particularmente para empresas que manejan cargas de trabajo de producción sensibles para clientes empresariales.
Fuente: Hacker News · Resumido por HeadlinesBriefing