Kritischer Fehler in der Open Metadata Platform bedroht Kubernetes-Workloads; dringender Patch erforderlich

Die OpenMetadata-Plattform, die für die Datenerkennung und -verwaltung verwendet wird, wurde durch kritische Schwachstellen gefährdet, die es Angreifern ermöglichen, die Authentifizierung zu umgehen und Remote Code Execution (RCE) auf Kubernetes-Workloads auszuführen. Diese Schwachstellen ermöglichen unbefugten Zugriff und Krypto-Mining-Aktivitäten. Microsoft hat Benutzer aufgefordert, Updates für OpenMetadata durchzuführen und die Authentifizierungsmaßnahmen zu verstärken, um potenzielle Ausnutzungen einzudämmen.

Critical Vulnerabilities in OpenMetadata Platform Pose Severe Threat to Kubernetes Workloads: Urgent Mitigation Required

Kritische Schwachstellen in der OpenMetadata-Plattform stellen eine ernsthafte Bedrohung für Kubernetes-Workloads dar: Es ist dringende Abhilfe erforderlich

[Redmond, Washington] - February 28, 2023

[Redmond, Washington] – 28. Februar 2023

Cybersecurity researchers from Microsoft have uncovered a series of critical vulnerabilities in the OpenMetadata platform that empower threat actors to exploit Kubernetes workloads for clandestine crypto mining activities. These vulnerabilities have the potential to compromise enterprise environments and disrupt critical business operations.

Cybersicherheitsforscher von Microsoft haben eine Reihe kritischer Schwachstellen in der OpenMetadata-Plattform aufgedeckt, die es Bedrohungsakteuren ermöglichen, Kubernetes-Workloads für geheime Krypto-Mining-Aktivitäten auszunutzen. Diese Schwachstellen können Unternehmensumgebungen gefährden und kritische Geschäftsabläufe stören.

The Microsoft security blog has issued a stark warning, revealing that five significant vulnerabilities allow attackers to bypass authentication and execute Remote Code Execution (RCE) on affected Kubernetes workloads. These vulnerabilities, designated as CVE-2024-28255, CVE-2024-28847, CVE-2024-28253, CVE-2024-28848, and CVE-2024-28254, affect OpenMetadata versions preceding 1.3.1.

Der Microsoft-Sicherheitsblog hat eine deutliche Warnung herausgegeben und enthüllt, dass fünf erhebliche Schwachstellen es Angreifern ermöglichen, die Authentifizierung zu umgehen und Remote Code Execution (RCE) auf betroffenen Kubernetes-Workloads auszuführen. Diese Schwachstellen mit der Bezeichnung CVE-2024-28255, CVE-2024-28847, CVE-2024-28253, CVE-2024-28848 und CVE-2024-28254 betreffen OpenMetadata-Versionen vor 1.3.1.

Understanding the Vulnerabilities

Die Schwachstellen verstehen

CVE-2024-28255, rated 9.8 on the Common Vulnerability Scoring System (CVSS), exploits a flaw in the API authentication mechanism of OpenMetadata. By exploiting this vulnerability, attackers can bypass authentication and gain unauthorized access to sensitive endpoints.

CVE-2024-28255, bewertet mit 9,8 im Common Vulnerability Scoring System (CVSS), nutzt einen Fehler im API-Authentifizierungsmechanismus von OpenMetadata aus. Durch die Ausnutzung dieser Schwachstelle können Angreifer die Authentifizierung umgehen und sich unbefugten Zugriff auf sensible Endpunkte verschaffen.

CVE-2024-28255, assigned a CVSS score of 9.4, stems from deficiencies in JWT token validation within the JwtFilter component. This vulnerability allows attackers to send a malicious PUT request to modify system policies, potentially leading to remote code execution.

CVE-2024-28255, dem ein CVSS-Score von 9,4 zugewiesen wurde, ist auf Mängel bei der JWT-Token-Validierung innerhalb der JwtFilter-Komponente zurückzuführen. Diese Sicherheitslücke ermöglicht es Angreifern, eine böswillige PUT-Anfrage zu senden, um Systemrichtlinien zu ändern, was möglicherweise zur Remote-Codeausführung führt.

Exploitation Modus Operandi

Betriebsweise der Ausbeutung

Security analysts have observed a systematic attack sequence involving the exploitation of these vulnerabilities:

Sicherheitsanalysten haben eine systematische Angriffssequenz beobachtet, bei der diese Schwachstellen ausgenutzt werden:

1. Vulnerability Identification and Exploitation: Attackers target vulnerable versions of OpenMetadata and exploit the vulnerabilities to gain initial code execution within the container hosting the compromised image.
2. Intrusion Validation and Connectivity Establishment: Post-infiltration, attackers validate their intrusion through ping requests to specific domains linked to Interactsh, a popular tool for attacker communication.
3. Crypto-Mining Malware Deployment: Once successful access is established, attackers download crypto-mining malware from a remote server and execute it with elevated permissions. The server hosting the malware has been traced to China.

Mitigation Measures

Identifizierung und Ausnutzung von Schwachstellen: Angreifer zielen auf anfällige Versionen von OpenMetadata ab und nutzen die Schwachstellen aus, um eine erste Codeausführung innerhalb des Containers zu erreichen, der das kompromittierte Bild hostet. Einbruchsvalidierung und Verbindungsaufbau: Nach der Infiltration validieren Angreifer ihren Einbruch durch Ping-Anfragen an bestimmte verknüpfte Domänen Interactsh, ein beliebtes Tool für die Kommunikation mit Angreifern. Krypto-Mining-Malware-Bereitstellung: Sobald ein erfolgreicher Zugriff hergestellt wurde, laden Angreifer Krypto-Mining-Malware von einem Remote-Server herunter und führen sie mit erhöhten Berechtigungen aus. Der Server, auf dem sich die Malware befindet, wurde nach China zurückverfolgt. Mitigation Measures

To mitigate these threats and protect OpenMetadata workloads, organizations are strongly advised to implement the following measures:

Um diese Bedrohungen abzuschwächen und OpenMetadata-Workloads zu schützen, wird Organisationen dringend empfohlen, die folgenden Maßnahmen umzusetzen:

1. Update to OpenMetadata 1.3.1 or Later: Update the image version of Kubernetes clusters running OpenMetadata to the latest version, specifically 1.3.1 or newer, to patch these vulnerabilities.
2. Strong Authentication: Employ robust authentication mechanisms for accessing OpenMetadata over the Internet. Avoid using default credentials and consider implementing multi-factor authentication.
3. Network Segmentation: Restrict access to OpenMetadata workloads from untrusted networks to reduce the attack surface.
4. Regular Security Audits: Conduct regular security audits to scan for vulnerabilities and misconfigurations that could expose OpenMetadata to attacks.
5. Incident Response Plan: Establish an incident response plan to promptly detect and mitigate potential security breaches.

Organizations using OpenMetadata are urged to prioritize these mitigation measures to prevent exploitation of these critical vulnerabilities and protect their Kubernetes workloads from malicious crypto mining activities.

Update auf OpenMetadata 1.3.1 oder höher: Aktualisieren Sie die Image-Version von Kubernetes-Clustern, auf denen OpenMetadata ausgeführt wird, auf die neueste Version, insbesondere 1.3.1 oder höher, um diese Schwachstellen zu beheben. Starke Authentifizierung: Verwenden Sie robuste Authentifizierungsmechanismen für den Zugriff auf OpenMetadata über das Internet. Vermeiden Sie die Verwendung von Standardanmeldeinformationen und erwägen Sie die Implementierung einer Multi-Faktor-Authentifizierung. Netzwerksegmentierung: Beschränken Sie den Zugriff auf OpenMetadata-Workloads von nicht vertrauenswürdigen Netzwerken, um die Angriffsfläche zu verringern. Regelmäßige Sicherheitsüberprüfungen: Führen Sie regelmäßige Sicherheitsüberprüfungen durch, um nach Schwachstellen und Fehlkonfigurationen zu suchen, die OpenMetadata Angriffen ausgesetzt sein könnten. Vorfall-Reaktionsplan: Erstellen Sie einen Vorfall-Reaktionsplan, um potenzielle Sicherheitsverstöße umgehend zu erkennen und abzuschwächen. Organisationen, die OpenMetadata verwenden, werden dringend gebeten, diesen Abhilfemaßnahmen Priorität einzuräumen, um die Ausnutzung dieser kritischen Schwachstellen zu verhindern und ihre Kubernetes-Workloads vor böswilligen Krypto-Mining-Aktivitäten zu schützen.