Mobile-Menu

CloudImposer gefährdet Millionen von Servern Kritische Schwachstelle in Google Cloud Platform

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

FAST LTA GmbH

Forscher von Tenable Research haben eine kritische Schwachstelle entdeckt, die potenziell die Ausführung von schädlichem Code auf Millionen von Google-Servern ermöglicht. Die Sicherheitslücke „CloudImposer“ betrifft Googles Cloud Composer, ein Tool zur Orchestrierung von Software­pipelines auf der Google Cloud Platform.

Tenable Research hat eine kritische RCE-Schwachstelle in der Google Cloud Platform entdeckt.(Bild: Dall-E / KI-generiert)
Tenable Research hat eine kritische RCE-Schwachstelle in der Google Cloud Platform entdeckt.
(Bild: Dall-E / KI-generiert)

Der von Tenable entdeckte Fehler in der Google Cloud Platform öffnet die Tür für eine Art Supply-Chain-Angriff, bekannt als „Dependency Confusion“. Ein Angreifer könnte durch das Einschleusen eines bösartigen Pakets auf die internen Systeme von Google zugreifen und darüber hinaus auch auf die Systeme von dessen Kunden zugreifen können.

Python-Paketverwaltung macht Probleme

Das Problem entstand durch eine unsichere Handhabung der Python-Paketverwaltung in der GCP-Dokumentation. Google empfahl den Einsatz des Arguments „--extra-index-url“ beim Installieren von privaten Paketen. Dieses Argument führt dazu, dass neben dem privaten auch das öffentliche PyPI-Repository durchsucht wird. Dies ermöglicht es Angreifern, ein bösartiges Paket in das öffentliche Repository hochzuladen, das den gleichen Namen wie ein internes Paket trägt. Da „pip“, das Python-Paketinstallationswerkzeug, bei zwei gleichnamigen Paketen das mit der höheren Versionsnummer bevorzugt, könnten Angreifer die Kontrolle über das System übernehmen.

CloudImposer nutzt diese Schwachstelle und ermöglicht eine remote Codeausführung auf Google-Servern. Besonders betroffen sind die GCP-Dienste App Engine, Cloud Functions und Cloud Composer, was die Dimension des potenziellen Schadens verdeutlicht. Da Google Cloud Composer eine verwaltete Version von Apache Airflow ist, einem weit verbreiteten Open-Source-Tool zur Verwaltung von Datenpipelines, hätte ein erfolgreicher Angriff weitreichende Auswirkungen. Der Apache-Airflow-Code wurde über 22 Millionen Mal heruntergeladen, was das Ausmaß des Problems zeigt.

Tenable Research präsentierte Erkenntnisse auf der Black Hat USA 2024

Tenable Research präsentierte diese Erkenntnisse auf der Black Hat USA 2024 und hob die Dringlichkeit hervor, sich der Gefahr von Dependency Confusion bewusst zu sein. Dieser Angriffstyp wurde 2021 von Alex Birsan entdeckt. Es empfiehlt jetzt, stattdessen das sicherere Argument „--index-url“ zu verwenden, das ausschließlich auf ein einziges Repository verweist und so die Gefahr eines Angriffs minimiert.

Nach der Offenlegung des Sicherheitsproblems hat Google das Skript, das für die Installation von privaten Paketen in Cloud Composer verantwortlich war, korrigiert und die potenziell betroffenen Pakete geprüft. Es gibt keine Hinweise darauf, dass CloudImposer in der Praxis ausgenutzt wurde, dennoch konnte das Tenable-Team nachweisen, dass der von ihnen eingesetzte Code auf Googles internen Servern ausgeführt wurde.

(ID:50169080)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte