Posté le février 7, 2022 à 8:40

UN NOUVEAU BUG DANS L’OUTIL DE DÉPLOIEMENT CONTINU ARGO POURRAIT PERMETTRE AUX HACKERS DE VOLER DES INFORMATIONS SECRÈTES DANS LES APPLICATIONS KUBERNETES

Des chercheurs en sécurité ont signalé que la vulnérabilité de l’outil de déploiement continu Argo (CD) pour Kubernetes pourrait permettre aux hackers d’avoir accès à des informations sensibles telles que les clés API et les mots de passe.

La vulnérabilité, nommée CVE-2022-24348, touche toutes les versions de l’outil, mais elle a été corrigée dans les versions 2.1.9, 2.2.4 et 2.3.0. Selon la société de cybersécurité, Apiiro, qui a découvert la vulnérabilité, a averti les utilisateurs de l’outil de cette faille.

En outre, la vulnérabilité peut permettre aux hackers de passer facilement d’un écosystème d’applications à un autre.

Argo CD est une plateforme de livraison continue qui est déployée en tant que contrôleur Kubernetes dans le cloud. L’outil est utilisé pour déployer des applications et les surveiller pendant leur exécution en temps réel.

L’équipe de recherche en sécurité d’Apiiro a déclaré que la vulnérabilité est un problème de path traversal. Le problème se produit lorsque les acteurs de menaces obtiennent l’accès à des répertoires et des fichiers qui sont stockés en dehors de leur champ d’action autorisé. Selon le rapport, la vulnérabilité peut être décrite comme étant critique, avec une échelle de gravité de 7,7 sur 10.

Le bug peut être exploité en construisant un fichier Kubernetes Helm Chart

Les hackers peuvent exploiter la vulnérabilité lorsqu’un fichier YAML Kubernetes Helm Chart infecté est chargé dans le système CD Argo. Cependant, l’attaque ne peut réussir que si les attaquants déplacent le fichier de leur écosystème d’application vers les données d’une autre application.

La vulnérabilité provient de la manière dont Argo CD utilise et contrôle sa sécurité anti-path traversal, notent les chercheurs.

Les chercheurs ont ajouté que la vulnérabilité peut être exploitée, selon la façon dont les utilisateurs exploitent Argo CD pour développer un pipeline de déploiement d’applications. Cela peut se faire de deux manières : en construisant un fichier Kubernetes Helm Chart ou en définissant un dépôt Git. Cependant, Apiiro explique que le problème réside dans la première approche.

Le Helm Chart est un fichier YAML qui embarque différents champs, formant les configurations et déclarations nécessaires au déploiement d’une application. L’application, selon les chercheurs d’Apiiro, peut comporter quelques blocs de construction. Ceux-ci peuvent être intégrés à d’autres fichiers pour fonctionner comme des applications autonomes hébergées dans un dépôt.

Pas de solution de contournement pour la vulnérabilité

Les chercheurs ont déclaré que les attaquants peuvent abuser du fichier contenant du YAML valide s’ils ont la permission de créer ou de mettre à jour des applications. Ils peuvent installer un graphique Helm malveillant pour utiliser le YAML en tant que fichiers de valeurs, ce qui leur permet d’obtenir un accès qu’ils ne devraient pas avoir.

Et dans un environnement où les utilisateurs utilisent des fichiers de valeurs cryptés qui contiennent des données confidentielles ou sensibles, l’impact peut devenir très critique, ont ajouté les chercheurs.

Malheureusement, il n’existe pas de solution pour pallier cette vulnérabilité, ce qui expose les utilisateurs à un risque accru d’exploitation s’ils n’appliquent pas les mises à jour à leurs appareils. Par conséquent, Argo a conseillé à ses utilisateurs d’appliquer des mises à jour à leurs installations dès que possible. Ceux qui utilisent la version pour laquelle aucun correctif n’est disponible devraient attendre avec impatience un correctif sous peu, selon la société.

Apiiro a déclaré avoir informé Argo CD de cette vulnérabilité il y a deux semaines et la société a rapidement fourni un correctif. La société de sécurité a déclaré que les deux parties travaillent ensemble pour s’assurer que les acteurs de la menace ne gagnent pas beaucoup de victimes via leur exploitation.

Les hackers deviennent de plus en plus sophistiqués

Le président-directeur général de Vulcan Cyber, Yaniv Bar-Dayan, a indiqué que sa société de sécurité a découvert un grand nombre de menaces persistantes avancées (APT) qui exploitent des zero-day dans des logiciels de chaîne d’approvisionnement comme Argo CD.

Il a ajouté que les vulnérabilités non atténuées ont entraîné plus de cyber-risques et d’attaques que tout autre facteur. Cependant, les acteurs de menaces sont toujours à la recherche de zones où ils obtiendront le moins de résistance pour atteindre leur objectif. Cela a montré comment ils deviennent de plus en plus sophistiqués pour lancer des attaques à partir de logiciels et d’applications vulnérables.

Un bon exemple est le piratage de SolarWinds, qui a montré la capacité des hackers à utiliser des outils hautement techniques pour réaliser des attaques sur la chaîne d’approvisionnement, ayant un impact sur plusieurs organisations au passage. Ces hackers ne sont plus certifiés pour obtenir des milliers de dollars de leur butin. Ils s’attaquent maintenant à la jugulaire en dépensant massivement pour attaquer des entreprises et des organisations qui fournissent des services essentiels.

Une fois qu’ils ont touché ces organisations, ils sont certains que la rançon qu’elles paieront se chiffrera en millions. Dans la plupart des atteintes à la sécurité, les fournisseurs de la chaîne d’approvisionnement en logiciels sont généralement les seuls responsables. Mais le niveau de sophistication déployé par les acteurs de la menace montre que même le fournisseur le plus prudent peut être exploré avec succès.

En conséquence, les chercheurs en sécurité maintiennent que la meilleure façon de limiter les risques d’exploitation est que toutes les parties prenantes appliquent diverses techniques de sécurité et créent une sensibilisation régulière aux acteurs de menaces et aux dommages qu’ils peuvent causer. Cette sensibilisation consiste également à rappeler constamment aux utilisateurs de mettre à jour leurs appareils et leurs applications afin de réduire les possibilités d’exploitation des hackers.