提交需求
*
*

*
*
*
立即提交
点击”立即提交”，表明我理解并同意 《美创科技隐私条款》
免费试用
400-811-3777

logo

    产品与服务
    解决方案
    技术支持
    合作发展
    关于美创
    申请试用
      热门阅读
      1

      美创科技打造县域医疗灾备新标杆｜神木市医院 HIS 系统数据库分钟级切换演练实录

      2025-07-02

       2

      百万罚单警示！DCAS助力金融机构筑牢数据安全防线，实现监管合规

      2025-06-20

       3

      2025中国互联网产业年会丨《中国互联网产业绿色算力发展倡议》正式发布

      2025-02-07

       4

      美创用户专访 | 精细化管理：医疗行业数据分类分级的策略与实践

      2025-01-10

       5

      容灾演练双月报｜美创助力某特大型通信基础设施央企顺利完成多个核心系统异地容灾演练

      2025-01-10
      相关文章

      关键信息基础设施商用密码使用管理规定

      2025-07-25

      数据保护与应用合规体系建设研究

      2025-07-24

      重新定义XDR市场的6个关键趋势

      2025-07-23

      为什么说AI给机密计算打了一针强心针？

      2025-07-22

      《个人信息安全规范》修订思考之一：AI助手的授权机制设计

      2025-07-21
      阿里云数据库曝出两个严重漏洞，全球公有云漏洞层出不穷
      发布时间：2023-04-23 阅读次数： 472 次

      美国云安全公司Wiz发现一组阿里云数据库漏洞，可用于突破租户隔离保护机制，访问其他客户的敏感数据。

      注：本文报道的漏洞已得到修复或缓解。


      安全内参4月21日消息，阿里云数据库ApsaraDB RDS for PostgreSQL 和 AnalyticDB for PostgreSQL曝出一组两个严重漏洞，可用于突破租户隔离保护机制，访问其他客户的敏感数据。

      美国云安全公司Wiz发布报告称，“这些漏洞可能允许对阿里云客户的PostgreSQL数据库进行未经授权访问，并对阿里巴巴的这两项数据库服务开展供应链攻击，从而实现对阿里巴巴数据库服务的远程命令执行（RCE）攻击。”

      这组漏洞被命名为BrokenSesame，在2022年12月被上报给阿里巴巴，阿里云于2023年4月12日部署了缓解措施。尚无证据表明这些漏洞曾遭到野外利用。

      简而言之，此次发现的漏洞分别为AnalyticDB权限提升漏洞和ApsaraDB RDS远程代码执行漏洞，能够在容器内将权限提升为root，逃逸至底层Kubernetes节点，最终实现对API服务器的未授权访问。

      利用这条利用链，恶意黑客能够从API服务器中检索到与容器注册表相关的凭证，推送恶意镜像以控制共享节点上属于其他租户的客户数据库。


      Wiz公司研究员Ronen SHustin与Shir Tamari表示，“用于拉取镜像的凭证未被正确限定范围且允许推送权限，这为供应链攻击埋下了隐患。”

      这已经不是第一次在云服务中发现PostgreSQL漏洞。去年，Wiz公司曾在微软Azure Database for PostgreSQL Flexible Server和IBM Cloud Databases for PostgreSQL中发现过类似的问题。

      Palo Alto Networks安全研究团队Unit 42在云威胁报告中表示，“恶意黑客越来越善于利用云上的常见安全问题”，包括错误配置、凭证强度过低、缺乏身份验证、未修复漏洞和恶意开源软件包等。

      “76%的组织未能对控制台用户实施多因素身份验证（MFA），58%的组织未能对具有root/admin权限的用户实施多因素身份验证。”


      参考资料：https://thehackernews.com/2023/04/two-critical-flaws-found-in-alibaba.html



      本文来自安全内参，如有侵权联系删除


      上一条：ChatGPT 4.0版本出现新问题
      下一条：增强数字身份管理和验证的新方法：身份联合
      返回
      关注或联系美创
      官方订阅号 官方订阅号
      官方服务号 官方服务号
      第59号 第59号
      服务热线：400-811-3777
      商务合作：marketing@mchz.com.cn
      友情链接 中央网信办 公安部 工信部 CNCERT 中国信通院 中国软件测评中心 国家工业信息安全发展研究中心 赛迪研究院
      Copyright © 2024 杭州美创科技股份有限公司 All rights reserved.
      浙公网安备 33010502006954号 浙ICP备12021012号-1 网站地图 网站声明及隐私保护政策
      免费试用
      服务热线

      马上咨询

      400-811-3777

      回到顶部