va hokazolarda jiddiy zaiflik aniqlandi.

va hokazolarda jiddiy zaiflik aniqlandi.

Foydalanuvchi autentifikatsiyasi etcd da standart sozlama emas.

Ma’lumotlarni konteynerlar va klasterlarda saqlash uchun mo’ljallangan etcd dasturida jiddiy xavfsizlik muammosi aniqlandi. Dasturchi Giovanni Collazo o’z blogida xabar berganidek, foydalanuvchi autentifikatsiyasi etcd da standart sozlama emas.

Shodan qidiruv tizimidan foydalanib, Collazo deyarli 2300 ta etcd serverlarini aniqladi. Keyin u etcd API ga so’rovlar yuborish va barcha hisoblar uchun avtorizatsiya kalitlarini so’rash uchun skript yozdi. Bunga javoban tadqiqotchi 8700 dan ortiq parolni, shuningdek, bir necha yuzlab AWS maxfiy kalitlari va boshqa API kalitlarini oldi. Collazoning so’zlariga ko’ra, u olgan ma’lumotlarning haqiqiyligini tekshirmagan, ammo ularning hech bo’lmaganda bir qismi qonuniy ekanligiga amin.

«Bir daqiqa bo’sh vaqti bo’lgan har bir kishi yuzlab ma’lumotlar bazasiga kirish ma’lumotlari ro’yxatini olishi va ulardan ma’lumotlarni o’g’irlash yoki ransomware hujumlarini amalga oshirish uchun foydalanishi mumkin», deb ta’kidladi tadqiqotchi.

Shunga o’xshash muammo ilgari MongoDB bilan bog’liq holda yuzaga kelgan edi. MongoDB ma’lumotlar bazalarida majburiy autentifikatsiya standart sozlama emas edi, bu esa har kimga dasturiy ta’minotni o’rnatishga imkon berdi. Bundan o’tgan yilning yanvar oyida himoyalanmagan MongoDB serverlariga ransomware hujumlarini boshlagan xakerlar foydalangan.