Um pesquisador de segurança revelou uma falha grave no serviço TiDB Cloud da PingCAP, que expôs 10,6 TB de dados distribuídos em 4 901 203 arquivos e 180 046 organizações locatárias. A exfiltração ocorreu durante quase dois meses, com 88 exportações consecutivas a cada seis horas do plano de controle de produção que passaram despercebidas de 8 a 30 de setembro.
Os dados comprometidos incluem 115 308 chaves API de cliente em texto plano (42 612 ainda ativas), 403 262 e-mails únicos, 20 645 574 declarações SQL de clientes, e 5 036 738 IPs de servidores de clientes. O invasor também acessou 377 466 problemas Jira, 433 928 contatos CRM, e 413 repositórios de código privados. Usando credenciais encontradas nos próprios repositórios da PingCAP, o invasor estabeleceu um feed de replicação que reexportava automaticamente o banco de dados operacional completo a cada seis horas. A falha expôs informações sensíveis dos clientes, incluindo tabelas de profissionais de saúde e listas de pacientes de uma clínica brasileira. A PingCAP afirma que o TiDB Cloud é seguro para bancos, estúdios de jogos e plataformas de e-commerce, mas este incidente demonstra lacunas significativas na monitoração e capacidades de detecção de serviços em nuvem. O modelo de negócios completo da empresa baseia-se na segurança de sua plataforma compartilhada e multilocatária.
O banco de dados do plano de controle (metadb) foi replicado em sua totalidade, contendo 292 276 registros de usuários com 166 108 nomes reais, 388 861 projetos, 3 448 054 clusters serverless, e 16 299 clusters dedicados. Além disso, 1 809 endpoints de banco de dados externos foram comprometidos, fornecendo acesso root e admin para hosts MySQL/Aurora dos clientes. A falha também expôs 290 IDs de conta AWS de clientes e 85 IDs de projeto GCP de registros de peering VPC.
Os logs de acesso ao gateway revelaram o diretório de instalação completo da empresa de banco de dados, mostrando o volume de conexões de cada cliente, endereços IP de servidores de aplicativos e programas de cliente. Estes dados fornecem um mapa de direcionamento abrangente para ataques adicionais contra os clientes do TiDB Cloud.
O incidente destaca a importância crítica de uma configuração e monitoramento adequados de segurança na nuvem, particularmente para empresas que lidam com cargas de trabalho de produção sensíveis para clientes corporativos.
Fonte: Hacker News · Resumido por HeadlinesBriefing