LeakyCLI の重大な脆弱性により、Google Cloud、Azure、AWS の機密データが漏洩

「LeakyCLI」（CVE-2023-36052）と呼ばれる重大度の高い脆弱性が、Google Cloud、Azure、AWS のコマンドライン インターフェース ツールで発見されました。この欠陥により、GitHub Actions、TravisCI、CircleCI、Cloud Build ログからアクセス トークンと機密情報が意図せず漏洩する可能性があります。脅威アクターはこれを悪用して、リポジトリ所有者の資格情報や機密リソースにアクセスする可能性があります。

High-Severity Vulnerability in LeakyCLI Tools Exposes Sensitive Information in Google Cloud, Azure, and AWS

LeakyCLI ツールの重大度の高い脆弱性により、Google Cloud、Azure、AWS の機密情報が漏洩

A critical vulnerability has been discovered in the command line interface (CLI) tools of Google Cloud, Azure, and Amazon Web Services (AWS), exposing sensitive information to unauthorized access. Dubbed "LeakyCLI," the flaw threatens organizations' security by potentially compromising confidential data.

Google Cloud、Azure、アマゾン ウェブ サービス (AWS) のコマンド ライン インターフェイス (CLI) ツールに重大な脆弱性が発見され、機密情報が不正アクセスにさらされます。 「LeakyCLI」と呼ばれるこの欠陥は、機密データを危険にさらす可能性があり、組織のセキュリティを脅かします。

Tracked as CVE-2023-36052, the vulnerability allows adversaries to access unintended access tokens and sensitive information, including credentials, usernames, and keys. This information could grant attackers the ability to access any resources available to the repository owners, leading to further malicious activity.

CVE-2023-36052 として追跡されているこの脆弱性により、攻撃者は意図しないアクセス トークンや、資格情報、ユーザー名、キーなどの機密情報にアクセスできます。この情報により、攻撃者はリポジトリ所有者が利用可能なあらゆるリソースにアクセスできるようになり、さらなる悪意のある活動につながる可能性があります。

A report from cybersecurity firm Orca Security highlights the exploitation of the vulnerability in GitHub projects on GitHub Actions, TravisCI, CircleCI, and Cloud Build logs. Researchers emphasize that the compromised environment variables can be used to view confidential information, including passwords.

サイバーセキュリティ企業 Orca Security のレポートでは、GitHub Actions、TravisCI、CircleCI、Cloud Build ログ上の GitHub プロジェクトの脆弱性悪用が明らかになりました。研究者らは、侵害された環境変数を使用してパスワードなどの機密情報を閲覧できる可能性があると強調している。

"If malicious actors gain access to these environment variables, they could potentially view sensitive information, including credentials such as passwords, usernames, and keys," said Roi Nisimi, a researcher at Orca Security.

「悪意のある攻撃者がこれらの環境変数にアクセスすると、パスワード、ユーザー名、キーなどの資格情報を含む機密情報が閲覧される可能性があります」と Orca Security の研究者 Roi Nisimi 氏は述べています。

Microsoft promptly addressed the bug in November. However, Amazon and Google consider the issue to be expected behavior, encouraging users to utilize dedicated secrets storage services.

Microsoft は 11 月に直ちにバグに対処しました。ただし、Amazon と Google はこの問題は予期された動作であると考えており、ユーザーに専用のシークレット ストレージ サービスを利用することを推奨しています。

Organizations are advised to take immediate action to mitigate this high-severity vulnerability. Regular software updates and the diligent use of secrets storage services are essential to protect sensitive data and prevent unauthorized access.

組織は、この重大度の高い脆弱性を軽減するために直ちに措置を講じることをお勧めします。機密データを保護し、不正アクセスを防ぐには、ソフトウェアの定期的な更新と機密ストレージ サービスの熱心な使用が不可欠です。

Experts recommend the following best practices to minimize risk:

専門家は、リスクを最小限に抑えるために次のベスト プラクティスを推奨しています。

• Keep software updated with the latest security patches.
• Utilize secrets management services to securely store and access sensitive credentials.
• Regularly review and audit system logs to detect any suspicious activity.
• Enforce strong password policies and enable multi-factor authentication.

By adhering to these guidelines, organizations can significantly reduce the likelihood of exploitation through the LeakyCLI vulnerability and safeguard their sensitive information from unauthorized access.

ソフトウェアを最新のセキュリティ パッチで常に更新します。機密の資格情報を安全に保存し、アクセスするためにシークレット管理サービスを利用します。システム ログを定期的に確認および監査して、不審なアクティビティを検出します。強力なパスワード ポリシーを適用し、多要素認証を有効にします。これらのガイドラインに従うことで、組織は、LeakyCLI 脆弱性による悪用の可能性を大幅に減らし、機密情報を不正アクセスから保護できます。