Un chercheur en sécurité a révélé une faille majeure dans le service TiDB Cloud de PingCAP, qui a exposé 10,6 To de données répartis dans 4 901 203 fichiers et 180 046 organisations locataire. L'exfiltration s'est produite sur près de deux mois, avec 88 exportations consécutives toutes les six heures du plan de contrôle de production qui sont passées inaperçues du 8 au 30 septembre.
Les données compromises incluent 115 308 clés API client en texte brut (42 612 encore actives), 403 262 adresses e-mail uniques, 20 645 574 requêtes SQL clients, et 5 036 738 adresses IP de serveurs clients. L'attaquant a également accédé à 377 466 problèmes Jira, 433 928 contacts CRM, et 413 dépôts de code privés. En utilisant des identifiants trouvés dans les propres dépôts de PingCAP, l'attaquant a mis en place un flux de réplication qui réexportait automatiquement la base de données opérationnelle complète toutes les six heures. La faille a exposé des informations sensibles des clients, notamment des tables de professionnels de santé et des listes de patients d'une clinique brésilienne. PingCAP affirme que TiDB Cloud est sécurisé pour les banques, les studios de jeux et les plateformes de e-commerce, mais cet incident démontre des lacunes significatives dans la surveillance et les capacités de détection des services cloud. Le modèle économique complet de l'entreprise repose sur la sécurité de sa plateforme partagée multi-locataire.
La base de données du plan de contrôle (metadb) a été répliquée en intégralité, contenant 292 276 enregistrements utilisateurs avec 166 108 noms réels, 388 861 projets, 3 448 054 clusters serverless, et 16 299 clusters dédiés. De plus, 1 809 endpoints de base de données externes ont été compromises, accordant un accès root et admin aux serveurs MySQL/Aurora des clients. La faille a également exposé 290 IDs de compte AWS clients et 85 IDs de projet GCP des enregistrements de peering VPC.
Les logs d'accès au gateway ont révélé le répertoire d'installation complet de l'entreprise de base de données, montrant le volume de connexions de chaque client, les adresses IP des serveurs d'applications, et les programmes clients. Ces données fournissent une carte de ciblage complète pour des attaques supplémentaires contre les clients de TiDB Cloud.
L'incident souligne l'importance critique d'une configuration et d'une surveillance appropriées de la sécurité cloud, en particulier pour les entreprises qui gèrent des charges de travail de production sensibles pour des clients professionnels.
Source: Hacker News · Résumé par HeadlinesBriefing