Une faille critique de la plateforme de métadonnées ouvertes menace les charges de travail Kubernetes ; un correctif urgent est requis.

La plateforme OpenMetadata, utilisée pour la découverte et la gouvernance des données, a été compromise par des vulnérabilités critiques, permettant aux attaquants de contourner l'authentification et d'exécuter l'exécution de code à distance (RCE) sur les charges de travail Kubernetes. Ces vulnérabilités permettent un accès non autorisé et des activités de crypto-minage. Microsoft a exhorté les utilisateurs à appliquer les mises à jour d'OpenMetadata et à renforcer les mesures d'authentification pour atténuer toute exploitation potentielle.

Critical Vulnerabilities in OpenMetadata Platform Pose Severe Threat to Kubernetes Workloads: Urgent Mitigation Required

Des vulnérabilités critiques dans la plateforme OpenMetadata constituent une menace grave pour les charges de travail Kubernetes : une atténuation urgente est requise

[Redmond, Washington] - February 28, 2023

[Redmond, Washington] - 28 février 2023

Cybersecurity researchers from Microsoft have uncovered a series of critical vulnerabilities in the OpenMetadata platform that empower threat actors to exploit Kubernetes workloads for clandestine crypto mining activities. These vulnerabilities have the potential to compromise enterprise environments and disrupt critical business operations.

Les chercheurs en cybersécurité de Microsoft ont découvert une série de vulnérabilités critiques dans la plate-forme OpenMetadata qui permettent aux acteurs malveillants d'exploiter les charges de travail Kubernetes pour des activités clandestines d'extraction de cryptomonnaies. Ces vulnérabilités peuvent potentiellement compromettre les environnements d’entreprise et perturber les opérations commerciales critiques.

The Microsoft security blog has issued a stark warning, revealing that five significant vulnerabilities allow attackers to bypass authentication and execute Remote Code Execution (RCE) on affected Kubernetes workloads. These vulnerabilities, designated as CVE-2024-28255, CVE-2024-28847, CVE-2024-28253, CVE-2024-28848, and CVE-2024-28254, affect OpenMetadata versions preceding 1.3.1.

Le blog de sécurité de Microsoft a publié un avertissement sévère, révélant que cinq vulnérabilités importantes permettent aux attaquants de contourner l'authentification et d'exécuter l'exécution de code à distance (RCE) sur les charges de travail Kubernetes concernées. Ces vulnérabilités, désignées par CVE-2024-28255, CVE-2024-28847, CVE-2024-28253, CVE-2024-28848 et CVE-2024-28254, affectent les versions d'OpenMetadata antérieures à 1.3.1.

Understanding the Vulnerabilities

Comprendre les vulnérabilités

CVE-2024-28255, rated 9.8 on the Common Vulnerability Scoring System (CVSS), exploits a flaw in the API authentication mechanism of OpenMetadata. By exploiting this vulnerability, attackers can bypass authentication and gain unauthorized access to sensitive endpoints.

CVE-2024-28255, noté 9,8 sur le Common Vulnerability Scoring System (CVSS), exploite une faille dans le mécanisme d'authentification API d'OpenMetadata. En exploitant cette vulnérabilité, les attaquants peuvent contourner l'authentification et obtenir un accès non autorisé aux points de terminaison sensibles.

CVE-2024-28255, assigned a CVSS score of 9.4, stems from deficiencies in JWT token validation within the JwtFilter component. This vulnerability allows attackers to send a malicious PUT request to modify system policies, potentially leading to remote code execution.

CVE-2024-28255, qui a reçu un score CVSS de 9,4, découle de lacunes dans la validation des jetons JWT au sein du composant JwtFilter. Cette vulnérabilité permet aux attaquants d'envoyer une requête PUT malveillante pour modifier les politiques du système, conduisant potentiellement à l'exécution de code à distance.

Exploitation Modus Operandi

Mode de fonctionnement de l'exploitation

Security analysts have observed a systematic attack sequence involving the exploitation of these vulnerabilities:

Les analystes de sécurité ont observé une séquence d’attaques systématiques impliquant l’exploitation de ces vulnérabilités :

1. Vulnerability Identification and Exploitation: Attackers target vulnerable versions of OpenMetadata and exploit the vulnerabilities to gain initial code execution within the container hosting the compromised image.
2. Intrusion Validation and Connectivity Establishment: Post-infiltration, attackers validate their intrusion through ping requests to specific domains linked to Interactsh, a popular tool for attacker communication.
3. Crypto-Mining Malware Deployment: Once successful access is established, attackers download crypto-mining malware from a remote server and execute it with elevated permissions. The server hosting the malware has been traced to China.

Mitigation Measures

Identification et exploitation des vulnérabilités : les attaquants ciblent les versions vulnérables d'OpenMetadata et exploitent les vulnérabilités pour obtenir l'exécution initiale du code dans le conteneur hébergeant l'image compromise. Validation de l'intrusion et établissement de la connectivité : après l'infiltration, les attaquants valident leur intrusion via des requêtes ping adressées à des domaines spécifiques liés à Interactsh, un outil populaire pour la communication des attaquants. Déploiement de logiciels malveillants de crypto-minage : une fois l'accès réussi établi, les attaquants téléchargent des logiciels malveillants de crypto-minage à partir d'un serveur distant et les exécutent avec des autorisations élevées. Le serveur hébergeant le logiciel malveillant a été identifié en Chine.Mesures d'atténuation

To mitigate these threats and protect OpenMetadata workloads, organizations are strongly advised to implement the following measures:

Pour atténuer ces menaces et protéger les charges de travail OpenMetadata, il est fortement conseillé aux organisations de mettre en œuvre les mesures suivantes :

1. Update to OpenMetadata 1.3.1 or Later: Update the image version of Kubernetes clusters running OpenMetadata to the latest version, specifically 1.3.1 or newer, to patch these vulnerabilities.
2. Strong Authentication: Employ robust authentication mechanisms for accessing OpenMetadata over the Internet. Avoid using default credentials and consider implementing multi-factor authentication.
3. Network Segmentation: Restrict access to OpenMetadata workloads from untrusted networks to reduce the attack surface.
4. Regular Security Audits: Conduct regular security audits to scan for vulnerabilities and misconfigurations that could expose OpenMetadata to attacks.
5. Incident Response Plan: Establish an incident response plan to promptly detect and mitigate potential security breaches.

Organizations using OpenMetadata are urged to prioritize these mitigation measures to prevent exploitation of these critical vulnerabilities and protect their Kubernetes workloads from malicious crypto mining activities.

Mise à jour vers OpenMetadata 1.3.1 ou version ultérieure : mettez à jour la version image des clusters Kubernetes exécutant OpenMetadata vers la dernière version, en particulier 1.3.1 ou plus récente, pour corriger ces vulnérabilités. Authentification forte : utilisez des mécanismes d'authentification robustes pour accéder à OpenMetadata via Internet. Évitez d'utiliser les informations d'identification par défaut et envisagez de mettre en œuvre une authentification multifacteur. Segmentation du réseau : restreignez l'accès aux charges de travail OpenMetadata à partir de réseaux non fiables pour réduire la surface d'attaque. Audits de sécurité réguliers : effectuez des audits de sécurité réguliers pour rechercher les vulnérabilités et les erreurs de configuration susceptibles d'exposer OpenMetadata à des attaques. Plan de réponse aux incidents : établissez un plan de réponse aux incidents pour détecter et atténuer rapidement les failles de sécurité potentielles. Les organisations utilisant OpenMetadata sont invitées à donner la priorité à ces mesures d'atténuation pour empêcher l'exploitation de ces vulnérabilités critiques et protéger leurs charges de travail Kubernetes contre les activités malveillantes de crypto mining.