Aggiornamenti recenti Maggio 16th, 2024 3:14 PM
partner
News Recenti
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- Google risolve una vulnerabilità zero-day: è la terza in una settimana
- Microsoft rilascia fix per 61 vulnerabilità di cui due già sfruttate
- Apple e Google rilasciano una feature di anti-tracciamento bluetooth
- Black Basta ha colpito più di 500 organizzazioni nel mondo
- CERT-AGID 04 maggio – 10 maggio: 23 campagne malevole e il phishing multibanking che ha sfruttato la Presidenza del Consiglio dei Ministri
Scoperti centinaia di segreti Kubernetes esposti di compagnie Fortune-500
I ricercatori di Aqua Nautilus hanno scoperto centinaia di segreti Kubernetes esposti sul web, molti dei quali appartenenti a compagnie della lista Fortune 500. Tra le aziende colpite spiccano SAP e il suo sistema di gestione degli artefatti e due tra le principali compagnie di blockchain, oltre a molte altre compagnie della lista.
I segreti Kubernetes sono risorse che contengono una porzione di dati sensibili, come token, password o una chiave. Esistono otto diversi tipi di segreti, due dei quali vengono usati per memorizzare credenziali che consentono l’accesso a registri esterni: i dockercfg e i dockerconfigjson.
I ricercatori si sono concentrati su queste due tipologie cercando la presenza di segreti esposti su repository GitHub pubblici. Da una prima ricerca sono emersi più di 8.000 risultati; il team ha poi ristretto il cerchio cercando solo i record che contenevano valori di username e password in base64.
La seconda ricerca ha portato a 438 record; di questi, 203 contenevano credenziali valide che consentivano l’accesso ai rispettivi registri. Nella maggior parte dei casi gli ID prevedevano privilegi di push e pull.
Pixabay
“Durante la ricerca abbiamo scoperto che molti professionisti a volte trascurano di rimuovere i segreti dai file che inseriscono nei repository pubblici su GitHub” hanno spiegato i ricercatori. “Di conseguenza, queste informazioni sensibili vengono lasciate esposte, a un solo comando di decodifica base64 da essere rivelate in chiaro”.
Il team di Aqua Nautilus ha contattato le compagnie coinvolte informandole del problema e invitandole a rimuovere immediatamente i segreti esposti. Alcune di esse hanno attribuito l’errore a dimenticanze nei controlli, altri a pratiche di shadow IT e altri a problemi nei loro sistemi o processi.
Analizzando le password utilizzate, i ricercatori hanno scoperto che il 21,2% (93 password) erano state inserite manualmente dai dipendenti, e non generate. Tra queste il team ha trovato 43 password deboli come password, test123456, windows12, ChangeMe e dockerhub.
“Questo sottolinea la necessità da parte delle organizzazioni di definire policy e regole severe per la creazione di password che prevengano l’uso di chiavi così vulnerabili” hanno commentato i ricercatori.
Le implicazioni di questa scoperta coinvolgono non solo i singoli sviluppatori e le aziende, ma anche l’intera supply chain di fornitori. Il team di Aqua Nautilus invita le organizzazioni a cifrare sempre i segreti, aggiornarli frequentemente e rimuovere da GitHub qualsiasi file contenente informazioni sensibili.
Condividi l'articolo
WSO-NG, la web shell che si nasconde dietro un 404
LitterDrifter si diffonde nel mondo: il worm russo supera i confini dell'Ucraina
Articoli correlati
Altro in questa categoria
Approfondimenti
-
Black Basta ha colpito più di 500 organizzazioni nel mondo Dalla sua prima identificazione nell’aprile 2022 a... -
Anatomia del data breach che ha colpito il MITRE A partire dallo scorso gennaio e fino a metà marzo, MITRE... -
Aumentano gli attacchi con exploit contro gli utenti Linux I sistemi Linux stanno diventando sempre più popolari e... -
Aumentano gli attacchi alle aziende: +40% in Italia Le aziende italiane continuano a essere uno degli obiettivi... -
In Microsoft le paghe dei manager dipenderanno dal livello... L’ultimo non è stato un buon anno per Microsoft: tra...
Minacce recenti
Off topic
-
In Microsoft le paghe dei manager dipenderanno dal livello... L’ultimo non è stato un buon anno per Microsoft:...
-
Maythefourth: La caduta dell’Impero Galattico è... E se vi dicessimo che la saga di Star Wars ... -
Gli hacker e il cinema: i dieci migliori film secondo... Abbiamo rubato al blog di Kaspersky un vecchio pezzo di... -
Campione di scacchi blinda il PC. “Paura degli hacker” Il numero uno degli scacchi mondiali Magnus Carlsen ha... -
L’autore di fsociety pensa di essere Mr. Robot, ma è un... Il pirata informatico che ha creato il ransomware cerca...
Post recenti
-
Google risolve una vulnerabilità zero-day: è la terza in... Ieri Google ha comunicato di aver risolto una... -
Microsoft rilascia fix per 61 vulnerabilità di cui due... Nell’ultimo aggiornamento di sicurezza, Microsoft ha... -
Apple e Google rilasciano una feature di anti-tracciamento... Apple e Google hanno annunciato la disponibilità di... -
Black Basta ha colpito più di 500 organizzazioni nel mondo Dalla sua prima identificazione nell’aprile 2022 a...
-
CERT-AGID 04 maggio – 10 maggio: 23 campagne malevole e... Nell’ultima settimana, il CERT-AGID ha identificato e...
Jargon room
Tutorial, guide e altre piccole idee per la sicurezza informatica
Ransomware: la serie
No posts found.
