安全研究人员披露了 PingCAP 旗下 TiDB Cloud 服务的重大泄露事件，导致 10.6 TB 数据暴露，涉及 4,901,203 个文件及 180,046 个租户组织。此次数据外泄持续近两个月，攻击者在 9 月 8 日至 9 月 30 日期间，连续 88 次以每六小时一次的频率导出生产控制平面数据，全程未被检测到。
泄露的数据包括 115,308 个明文客户 API 密钥（其中 42,612 个仍处于激活状态）、403,262 个唯一电子邮件地址、20,645,574 条客户 SQL 语句，以及 5,036,738 个客户服务器 IP 地址。攻击者还访问了 377,446 个 Jira 问题、433,928 条 CRM 联系人记录，以及 413 个私有源代码仓库。
攻击者利用在 PingCAP 自身代码仓库中发现的凭据，建立了一个自动复制机制，每六小时自动重新导出整个运营数据库。此次泄露还暴露了敏感的客户信息，包括一家巴西诊所的医疗专业人员表格和患者名册。PingCAP 声称 TiDB Cloud 对银行、游戏工作室和电商平台是安全的，但此次事件暴露出云服务监控与检测能力的重大漏洞。该公司整个商业模式依赖于其共享多租户平台的安全性。
控制平面数据库（metadb）被完整复制，包含 292,276 条用户记录（其中 166,108 个为真实姓名）、388,861 个项目、3,448,054 个无服务器集群，以及 16,299 个专用集群。此外，1,809 个外部数据库端点被攻破，攻击者获得了客户 MySQL/Aurora 主机的 root 和管理员访问权限。泄露还暴露了 290 个客户 AWS 账户 ID 和 85 个 GCP 项目 ID，这些信息来自 VPC 对等连接记录。
网关访问日志揭示了该数据库公司完整的已安装基础目录，显示了每个客户的连接量、应用服务器 IP 地址和客户端程序。这些数据为针对 TiDB Cloud 客户的进一步攻击提供了全面的攻击目标地图。
此次事件凸显了正确云安全配置与监控的关键重要性，尤其是对于为处理企业客户敏感生产工作负载的公司而言。
来源: Hacker News · 由HeadlinesBriefing整理摘要