Nov 24, 2023 Marina Londei Gestione dati, In evidenza, News, RSS 0

I ricercatori di Aqua Nautilus hanno scoperto centinaia di segreti Kubernetes esposti sul web, molti dei quali appartenenti a compagnie della lista Fortune 500. Tra le aziende colpite spiccano SAP e il suo sistema di gestione degli artefatti e due tra le principali compagnie di blockchain, oltre a molte altre compagnie della lista.

I segreti Kubernetes sono risorse che contengono una porzione di dati sensibili, come token, password o una chiave. Esistono otto diversi tipi di segreti, due dei quali vengono usati per memorizzare credenziali che consentono l’accesso a registri esterni: i dockercfg e i dockerconfigjson.

I ricercatori si sono concentrati su queste due tipologie cercando la presenza di segreti esposti su repository GitHub pubblici. Da una prima ricerca sono emersi più di 8.000 risultati; il team ha poi ristretto il cerchio cercando solo i record che contenevano valori di username e password in base64.

La seconda ricerca ha portato a 438 record; di questi, 203 contenevano credenziali valide che consentivano l’accesso ai rispettivi registri. Nella maggior parte dei casi gli ID prevedevano privilegi di push e pull.

Pixabay

“Durante la ricerca abbiamo scoperto che molti professionisti a volte trascurano di rimuovere i segreti dai file che inseriscono nei repository pubblici su GitHub” hanno spiegato i ricercatori. “Di conseguenza, queste informazioni sensibili vengono lasciate esposte, a un solo comando di decodifica base64 da essere rivelate in chiaro”.

Il team di Aqua Nautilus ha contattato le compagnie coinvolte informandole del problema e invitandole a rimuovere immediatamente i segreti esposti. Alcune di esse hanno attribuito l’errore a dimenticanze nei controlli, altri a pratiche di shadow IT e altri a problemi nei loro sistemi o processi.

Analizzando le password utilizzate, i ricercatori hanno scoperto che il 21,2% (93 password) erano state inserite manualmente dai dipendenti, e non generate. Tra queste il team ha trovato 43 password deboli come password, test123456, windows12, ChangeMe e dockerhub.

“Questo sottolinea la necessità da parte delle organizzazioni di definire policy e regole severe per la creazione di password che prevengano l’uso di chiavi così vulnerabili” hanno commentato i ricercatori.

Le implicazioni di questa scoperta coinvolgono non solo i singoli sviluppatori e le aziende, ma anche l’intera supply chain di fornitori. Il team di Aqua Nautilus invita le organizzazioni a cifrare sempre i segreti, aggiornarli frequentemente e rimuovere da GitHub qualsiasi file contenente informazioni sensibili.