Open Metadata Platform の重大な欠陥により Kubernetes ワークロードが脅かされるため、緊急のパッチが必要です。

データ検出とガバナンスに利用される OpenMetadata プラットフォームが重大な脆弱性によって侵害され、攻撃者が認証を回避して Kubernetes ワークロード上でリモート コード実行 (RCE) を実行できるようになります。これらの脆弱性により、不正アクセスや暗号通貨マイニング活動が可能になります。 Microsoftは、悪用の可能性を軽減するためにOpenMetadataにアップデートを適用し、認証対策を強化するようユーザーに呼び掛けている。

Critical Vulnerabilities in OpenMetadata Platform Pose Severe Threat to Kubernetes Workloads: Urgent Mitigation Required

OpenMetadata Platform の重大な脆弱性が Kubernetes ワークロードに重大な脅威をもたらす: 緊急の緩和策が必要

[Redmond, Washington] - February 28, 2023

[ワシントン州レドモンド] - 2023 年 2 月 28 日

Cybersecurity researchers from Microsoft have uncovered a series of critical vulnerabilities in the OpenMetadata platform that empower threat actors to exploit Kubernetes workloads for clandestine crypto mining activities. These vulnerabilities have the potential to compromise enterprise environments and disrupt critical business operations.

Microsoft のサイバーセキュリティ研究者は、OpenMetadata プラットフォームに一連の重大な脆弱性を発見しました。これらの脆弱性により、攻撃者は Kubernetes ワークロードを悪用して秘密の暗号通貨マイニング活動を行うことができます。これらの脆弱性により、企業環境が侵害され、重要な業務運営が中断される可能性があります。

The Microsoft security blog has issued a stark warning, revealing that five significant vulnerabilities allow attackers to bypass authentication and execute Remote Code Execution (RCE) on affected Kubernetes workloads. These vulnerabilities, designated as CVE-2024-28255, CVE-2024-28847, CVE-2024-28253, CVE-2024-28848, and CVE-2024-28254, affect OpenMetadata versions preceding 1.3.1.

Microsoft セキュリティ ブログは厳しい警告を発し、5 つの重大な脆弱性により、攻撃者が認証をバイパスし、影響を受ける Kubernetes ワークロードでリモート コード実行 (RCE) を実行できることを明らかにしました。 CVE-2024-28255、CVE-2024-28847、CVE-2024-28253、CVE-2024-28848、および CVE-2024-28254 として指定されるこれらの脆弱性は、OpenMetadata バージョン 1.3.1 より前のバージョンに影響します。

Understanding the Vulnerabilities

脆弱性を理解する

CVE-2024-28255, rated 9.8 on the Common Vulnerability Scoring System (CVSS), exploits a flaw in the API authentication mechanism of OpenMetadata. By exploiting this vulnerability, attackers can bypass authentication and gain unauthorized access to sensitive endpoints.

Common Vulnerability Scoring System (CVSS) で 9.8 と評価された CVE-2024-28255 は、OpenMetadata の API 認証メカニズムの欠陥を悪用します。この脆弱性を悪用すると、攻撃者は認証をバイパスし、機密性の高いエンドポイントに不正にアクセスできるようになります。

CVE-2024-28255, assigned a CVSS score of 9.4, stems from deficiencies in JWT token validation within the JwtFilter component. This vulnerability allows attackers to send a malicious PUT request to modify system policies, potentially leading to remote code execution.

CVSS スコア 9.4 が割り当てられた CVE-2024-28255 は、JwtFilter コンポーネント内の JWT トークン検証の不備が原因です。この脆弱性により、攻撃者は悪意のある PUT リクエストを送信してシステム ポリシーを変更し、リモートでコードが実行される可能性があります。

Exploitation Modus Operandi

悪用の動作モード

Security analysts have observed a systematic attack sequence involving the exploitation of these vulnerabilities:

セキュリティ アナリストは、次の脆弱性の悪用を伴う組織的な攻撃シーケンスを観察しています。

1. Vulnerability Identification and Exploitation: Attackers target vulnerable versions of OpenMetadata and exploit the vulnerabilities to gain initial code execution within the container hosting the compromised image.
2. Intrusion Validation and Connectivity Establishment: Post-infiltration, attackers validate their intrusion through ping requests to specific domains linked to Interactsh, a popular tool for attacker communication.
3. Crypto-Mining Malware Deployment: Once successful access is established, attackers download crypto-mining malware from a remote server and execute it with elevated permissions. The server hosting the malware has been traced to China.

Mitigation Measures

脆弱性の特定と悪用: 攻撃者は、OpenMetadata の脆弱なバージョンをターゲットにし、その脆弱性を悪用して、侵害されたイメージをホストしているコンテナ内で最初のコードを実行します。侵入の検証と接続の確立: 侵入後、攻撃者は、リンクされている特定のドメインへの ping リクエストを通じて侵入を検証します。 Interactsh、攻撃者通信用の人気ツール。クリプト マイニング マルウェアの展開: アクセスが確立されると、攻撃者はリモート サーバーからクリプト マイニング マルウェアをダウンロードし、昇格されたアクセス許可で実行します。マルウェアをホストしているサーバーは中国にあることが判明しました。軽減策

To mitigate these threats and protect OpenMetadata workloads, organizations are strongly advised to implement the following measures:

これらの脅威を軽減し、OpenMetadata ワークロードを保護するために、組織は次の対策を実装することを強くお勧めします。

1. Update to OpenMetadata 1.3.1 or Later: Update the image version of Kubernetes clusters running OpenMetadata to the latest version, specifically 1.3.1 or newer, to patch these vulnerabilities.
2. Strong Authentication: Employ robust authentication mechanisms for accessing OpenMetadata over the Internet. Avoid using default credentials and consider implementing multi-factor authentication.
3. Network Segmentation: Restrict access to OpenMetadata workloads from untrusted networks to reduce the attack surface.
4. Regular Security Audits: Conduct regular security audits to scan for vulnerabilities and misconfigurations that could expose OpenMetadata to attacks.
5. Incident Response Plan: Establish an incident response plan to promptly detect and mitigate potential security breaches.

Organizations using OpenMetadata are urged to prioritize these mitigation measures to prevent exploitation of these critical vulnerabilities and protect their Kubernetes workloads from malicious crypto mining activities.

OpenMetadata 1.3.1 以降に更新する: OpenMetadata を実行している Kubernetes クラスターのイメージ バージョンを最新バージョン (具体的には 1.3.1 以降) に更新して、これらの脆弱性を修正します。 強力な認証: インターネット経由で OpenMetadata にアクセスするための堅牢な認証メカニズムを採用します。デフォルトの資格情報の使用を避け、多要素認証の実装を検討してください。ネットワーク セグメンテーション: 信頼できないネットワークからの OpenMetadata ワークロードへのアクセスを制限して、攻撃対象領域を減らします。定期的なセキュリティ監査: 定期的なセキュリティ監査を実施して、OpenMetadata を攻撃にさらす可能性のある脆弱性や構成ミスをスキャンします。インシデント対応計画: 潜在的なセキュリティ違反を迅速に検出して軽減するためのインシデント対応計画を確立します。OpenMetadata を使用する組織は、これらの重大な脆弱性の悪用を防止し、悪意のある暗号通貨マイニング活動から Kubernetes ワークロードを保護するために、これらの軽減策を優先することが求められます。