심각한 개방형 메타데이터 플랫폼 결함으로 인해 Kubernetes 워크로드가 위협받고 긴급 패치가 필요합니다.

데이터 검색 및 거버넌스에 활용되는 OpenMetadata 플랫폼은 심각한 취약점으로 인해 손상되어 공격자가 인증을 우회하고 Kubernetes 워크로드에서 원격 코드 실행(RCE)을 실행할 수 있게 되었습니다. 이러한 취약점으로 인해 무단 액세스 및 암호화폐 채굴 활동이 허용됩니다. Microsoft는 사용자에게 OpenMetadata에 업데이트를 적용하고 잠재적인 악용을 완화하기 위한 인증 조치를 강화할 것을 촉구했습니다.

Critical Vulnerabilities in OpenMetadata Platform Pose Severe Threat to Kubernetes Workloads: Urgent Mitigation Required

OpenMetadata 플랫폼의 심각한 취약점으로 인해 Kubernetes 워크로드에 심각한 위협 발생: 긴급 완화 필요

[Redmond, Washington] - February 28, 2023

[워싱턴주 레드먼드] - 2023년 2월 28일

Cybersecurity researchers from Microsoft have uncovered a series of critical vulnerabilities in the OpenMetadata platform that empower threat actors to exploit Kubernetes workloads for clandestine crypto mining activities. These vulnerabilities have the potential to compromise enterprise environments and disrupt critical business operations.

Microsoft의 사이버 보안 연구원들은 위협 행위자가 비밀 암호화폐 채굴 활동을 위해 Kubernetes 워크로드를 악용할 수 있도록 하는 OpenMetadata 플랫폼에서 일련의 심각한 취약점을 발견했습니다. 이러한 취약점은 기업 환경을 손상시키고 중요한 비즈니스 운영을 방해할 가능성이 있습니다.

The Microsoft security blog has issued a stark warning, revealing that five significant vulnerabilities allow attackers to bypass authentication and execute Remote Code Execution (RCE) on affected Kubernetes workloads. These vulnerabilities, designated as CVE-2024-28255, CVE-2024-28847, CVE-2024-28253, CVE-2024-28848, and CVE-2024-28254, affect OpenMetadata versions preceding 1.3.1.

Microsoft 보안 블로그는 공격자가 인증을 우회하고 영향을 받는 Kubernetes 워크로드에서 RCE(원격 코드 실행)를 실행할 수 있는 5가지 심각한 취약점을 공개하면서 엄중한 경고를 발표했습니다. CVE-2024-28255, CVE-2024-28847, CVE-2024-28253, CVE-2024-28848 및 CVE-2024-28254로 지정된 이러한 취약점은 1.3.1 이전 OpenMetadata 버전에 영향을 미칩니다.

Understanding the Vulnerabilities

취약점 이해

CVE-2024-28255, rated 9.8 on the Common Vulnerability Scoring System (CVSS), exploits a flaw in the API authentication mechanism of OpenMetadata. By exploiting this vulnerability, attackers can bypass authentication and gain unauthorized access to sensitive endpoints.

CVSS(Common Vulnerability Scoring System)에서 9.8 등급을 받은 CVE-2024-28255는 OpenMetadata의 API 인증 메커니즘에 있는 결함을 악용합니다. 공격자는 이 취약점을 악용하여 인증을 우회하고 중요한 엔드포인트에 무단으로 액세스할 수 있습니다.

CVE-2024-28255, assigned a CVSS score of 9.4, stems from deficiencies in JWT token validation within the JwtFilter component. This vulnerability allows attackers to send a malicious PUT request to modify system policies, potentially leading to remote code execution.

CVSS 점수 9.4가 할당된 CVE-2024-28255는 JwtFilter 구성 요소 내 JWT 토큰 유효성 검사의 결함으로 인해 발생합니다. 이 취약점을 통해 공격자는 시스템 정책을 수정하기 위해 악의적인 PUT 요청을 보내 잠재적으로 원격 코드를 실행할 수 있습니다.

Exploitation Modus Operandi

공격 작동 모드

Security analysts have observed a systematic attack sequence involving the exploitation of these vulnerabilities:

보안 분석가들은 이러한 취약점을 악용하는 체계적인 공격 순서를 관찰했습니다.

1. Vulnerability Identification and Exploitation: Attackers target vulnerable versions of OpenMetadata and exploit the vulnerabilities to gain initial code execution within the container hosting the compromised image.
2. Intrusion Validation and Connectivity Establishment: Post-infiltration, attackers validate their intrusion through ping requests to specific domains linked to Interactsh, a popular tool for attacker communication.
3. Crypto-Mining Malware Deployment: Once successful access is established, attackers download crypto-mining malware from a remote server and execute it with elevated permissions. The server hosting the malware has been traced to China.

Mitigation Measures

취약점 식별 및 악용: 공격자는 취약한 OpenMetadata 버전을 표적으로 삼고 취약점을 악용하여 손상된 이미지를 호스팅하는 컨테이너 내에서 초기 코드 실행을 얻습니다. 침입 확인 및 연결 설정: 침입 후 공격자는 연결된 특정 도메인에 대한 핑 요청을 통해 침입을 검증합니다. 공격자 통신에 널리 사용되는 도구인 Interactsh. 암호화 채굴 악성 코드 배포: 액세스가 성공적으로 설정되면 공격자는 원격 서버에서 암호화 채굴 악성 코드를 다운로드하고 높은 권한으로 실행합니다. 악성코드를 호스팅하는 서버는 중국으로 추적되었습니다. 완화 조치

To mitigate these threats and protect OpenMetadata workloads, organizations are strongly advised to implement the following measures:

이러한 위협을 완화하고 OpenMetadata 워크로드를 보호하려면 조직에서 다음 조치를 구현하는 것이 좋습니다.

1. Update to OpenMetadata 1.3.1 or Later: Update the image version of Kubernetes clusters running OpenMetadata to the latest version, specifically 1.3.1 or newer, to patch these vulnerabilities.
2. Strong Authentication: Employ robust authentication mechanisms for accessing OpenMetadata over the Internet. Avoid using default credentials and consider implementing multi-factor authentication.
3. Network Segmentation: Restrict access to OpenMetadata workloads from untrusted networks to reduce the attack surface.
4. Regular Security Audits: Conduct regular security audits to scan for vulnerabilities and misconfigurations that could expose OpenMetadata to attacks.
5. Incident Response Plan: Establish an incident response plan to promptly detect and mitigate potential security breaches.

Organizations using OpenMetadata are urged to prioritize these mitigation measures to prevent exploitation of these critical vulnerabilities and protect their Kubernetes workloads from malicious crypto mining activities.

OpenMetadata 1.3.1 이상으로 업데이트: OpenMetadata를 실행하는 Kubernetes 클러스터의 이미지 버전을 최신 버전, 특히 1.3.1 이상으로 업데이트하여 이러한 취약점을 패치합니다. 강력한 인증: 인터넷을 통해 OpenMetadata에 액세스하기 위한 강력한 인증 메커니즘을 사용합니다. 기본 자격 증명 사용을 피하고 다단계 인증 구현을 고려하십시오. 네트워크 분할: 신뢰할 수 없는 네트워크에서 OpenMetadata 워크로드에 대한 액세스를 제한하여 공격 표면을 줄입니다. 정기 보안 감사: 정기적인 보안 감사를 수행하여 OpenMetadata를 공격에 노출시킬 수 있는 취약성과 잘못된 구성을 검색합니다. 사고 대응 계획: 잠재적인 보안 위반을 즉시 감지하고 완화하기 위한 사고 대응 계획을 수립합니다. OpenMetadata를 사용하는 조직은 이러한 완화 조치의 우선순위를 지정하여 이러한 중요한 취약점의 악용을 방지하고 악의적인 암호화폐 채굴 활동으로부터 Kubernetes 워크로드를 보호해야 합니다.