Con servicios complejos en la nube, los pequeños errores conducen a compromisos

Los servicios en la nube de bajo código que permiten a los usuarios crear y ejecutar su propio código aislado podrían verse comprometidos a través de cadenas de explotación de múltiples etapas y llevar a la adquisición completa de la plataforma si los proveedores de software como servicio (SaaS) no lograran proteger adecuadamente sus entornos, administrar los roles y permisos de identidades no humanas y exponer inadvertidamente secretos en artefactos de código.

Tal compromiso casi le ocurrió al servicio de automatización de código bajo Zapier. Con algunos movimientos explotando la plataforma de la compañía, los investigadores de la compañía de seguridad de identidad de agentes Token Security descubrieron que podían sondear el entorno sandbox de Zapier, descubrir credenciales y moverse lateralmente para recuperar los repositorios privados de la compañía, y es posible que hayan publicado código malicioso, dijeron los investigadores en un análisis publicado el 28 de mayo.

Los investigadores de Token Security podrían haber introducido código malicioso en los repositorios de Zapier y en todos los usuarios autenticados en el sistema, dijo Yair Balilti, jefe del equipo de investigación de Token Security.

Relacionado:Microsoft lanza un parche para SharePoint fuera de banda

«Si tienes un usuario en Zapier, puedo tomar tu cookie y enviarla a un sitio web atacante», afirma. «Puedo usar la misma cookie y usar todas las herramientas que usas en Zapier. Por ejemplo, si tienes alguna automatización para enviar correos electrónicos para llegar allí». [another service]Puedo usar el mismo elemento básico”.

La capacidad de moverse entre componentes de la nube utilizando credenciales, secretos de desarrollo e identidades no humanas se ha vuelto una debilidad importante en el uso de la nube en las empresas. Entre la división del software en diferentes servicios en la nube y la Acelerando el avance de enjambres de agentes AILa infraestructura SaaS se está volviendo cada vez más compleja y difícil de proteger. Los investigadores de ciberseguridad ya han descubierto que la mayoría de las empresas – En realidad 56% – No existe ningún proceso para rastrear conexiones e integraciones de SaaS a SaaS. El año pasado, por ejemplo, el actor de amenazas UNC6395 robó datos de las instancias de Salesforce de la empresa. Abusar de los tokens OAuth asociados con la aplicación de automatización de ventas de terceros, Salesloft Drift.

«Nota: esto no es una cuestión de seguridad».

La cadena de ataque de cinco etapas de Token Security que casi comprometió el servicio de automatización comenzó con la capacidad de escribir código en un bloque de código. Zapier y otros proveedores de servicios de automatización permiten a los usuarios escribir su propio código para realizar tareas personalizadas o permitir que un agente de IA escriba el código por ellos. Código de ZapierPor ejemplo, permite escribir scripts de clientes y código de manipulación de datos en Python y JavaScript.

«Se promueve como un lugar donde los usuarios ejecutan su propia lógica», dijo Balilti de Token Security. explicó en su análisis online. «Así que desarrollamos nuestra propia lógica».

Relacionado:Microsoft Exchange zero-day está bajo ataque, no hay parche disponible

Usando su propio código, los investigadores pudieron interrogar el sistema operativo sandbox y determinar que se estaba ejecutando en AWS Lambda, y si bien no había credenciales filtradas obvias, la capacidad de leer un archivo de tareas reveló una función demasiado permisiva (llamada incorrectamente «allow_nothing_role») y una falla para eliminar las credenciales de forma segura.

En los comentarios del archivo, un desarrollador escribió:

Como segundo paso, los investigadores crearon un script en Python para extraer secretos de la memoria. Esto se vio respaldado por el hecho de que AWS Lambda solo elimina proactivamente los tokens y otros secretos cuando se recicla el contenedor. Utilizando esta función, los investigadores descubrieron que podían enumerar y solicitar 1.111 archivos del repositorio privado de Zapier en la tercera fase de su ataque. Entre estos archivos, encontraron uno que proporcionaba un token NPM para publicación que podía usarse para cualquier paquete.

Las cinco fases del compromiso de la nube incluyen escapar del entorno limitado, encontrar credenciales y roles con privilegios excesivos y luego moverse hacia un lado. Fuente: Seguridad del token

Los investigadores describieron sus dos últimos pasos, pero no los llevaron a cabo. Un script posterior a la instalación les habría permitido ejecutar código arbitrario agregándolo a un paquete Zapier legítimo, y la quinta etapa les habría permitido distribuir el código al navegador de cada usuario Zapier autenticado.

Relacionado:¿Pueden las leyes detener los deepfakes? Corea del Sur quiere descubrirlo

«Un atacante podría haber actuado como un usuario dentro de Zapier: creando Zaps, creando tablas, creando servidores MCP, modificando automatizaciones existentes y aprovechando las conexiones existentes del usuario a servicios de terceros a través de la plataforma Zapier», escribió Balilti en el análisis. «Estas conexiones se ejecutan en el lado del servidor. El atacante puede controlarlas aprovechando la sesión del usuario y pidiéndole a Zapier que haga cosas».

Demasiados permisos, muy poca seguridad

Token Security notificó a Zapier en febrero según sus pautas de divulgación responsable, que resolvieron el problema en menos de una semana. Token Security confirmó más tarde que la solución estaba funcionando y planea presentar los resultados de la investigación el 1 de junio en fwd:cloudsec Norteamérica.

Las empresas deben prestar más atención a sus plataformas de automatización y a los datos a los que tienen acceso, en lugar de centrarse en ellas. Limite los roles tanto como sea posibledice Balilti.

“Cuando utilizas una plataforma de automatización, estás conectado a todas tus integraciones, como Salesforce, Gmail y Google Drive, y cuando lo haces, [make sure you] Haga esto con el alcance menos privilegiado que pueda», dice. «Entonces, si su usuario finalmente queda expuesto, solo será de solo lectura o». [limited to] recursos específicos.

El problema de los permisos es importante. En marzo, por ejemplo, Salesforce advirtió a sus clientes sobre esto Sus cuentas de invitados tendían a tener permisos poco estrictos.Esto permite a los ciberdelincuentes llevar a cabo ataques de ingeniería social y robar datos.

Es muy probable que los atacantes ya estén realizando pruebas de penetración en las implementaciones de SaaS de las empresas, afirma Balilti.

“Hay muchas plataformas de flujo de trabajo de automatización en el mundo y la mayoría de ellas también lo tienen. [a feature similar to] «Un bloque de código», dice. «Y tal vez algunos atacantes intenten el mismo enfoque».