Agentes do Google Cloud vulneráveis a escalonamento de privilégios por meio de bug no Punycode
Uma vulnerabilidade no Google Guest Agent e no OS Config Agent pode permitir que atacantes contornem restrições de hostname. A falha se origina no tratamento inadequado de nomes de domínio internacionalizados.
TL;DR
- Os agentes em nuvem do Google contêm uma vulnerabilidade de análise de Punycode no pacote Go x/net/idna
- Atacantes podem explorar isso para contornar controles de acesso baseados em hostname
- A exploração bem-sucedida pode levar ao escalonamento de privilégios em sistemas afetados
- O Ubuntu lançou atualizações de segurança para resolver esse problema
- Organizações que usam agentes do Google Cloud devem aplicar os patches imediatamente
Pesquisadores de segurança identificaram uma vulnerabilidade significativa no Google Guest Agent e no OS Config Agent que pode permitir que atacantes remotos escalem privilégios. O problema está na forma como esses agentes processam nomes de domínio internacionalizados, especificamente no tratamento de rótulos codificados em Punycode.
Essa vulnerabilidade representa um risco sério à segurança da infraestrutura em nuvem, pois pode permitir que atacantes contornem controles de acesso baseados em hostname. Organizações que utilizam os serviços de computação em nuvem do Google devem tomar medidas imediatas para resolver essa lacuna de segurança.
A descoberta destaca a importância da validação adequada de nomes de domínio internacionalizados em componentes de infraestrutura em nuvem, onde até mesmo erros aparentemente menores de análise podem levar a implicações de segurança significativas.
Detalhes Técnicos
- A vulnerabilidade existe no pacote Go x/net/idna que é incorporado nos agentes do Google
- Rótulos codificados em Punycode que são decodificados para rótulos somente ASCII são incorretamente aceitos durante o processamento de IDN
- Essa validação inadequada permite que atacantes criem nomes de domínio que contornam mecanismos de verificação de hostname
- O problema afeta tanto o Google Guest Agent quanto o Google OS Config Agent executando em sistemas Ubuntu
Impacto de Segurança
- Atacantes remotos podem potencialmente contornar controles de acesso baseados em hostname
- A exploração bem-sucedida pode levar ao escalonamento de privilégios em sistemas afetados
- Ambientes em nuvem que utilizam esses agentes podem estar vulneráveis a acessos não autorizados
- A vulnerabilidade pode comprometer a integridade das medidas de segurança da infraestrutura em nuvem
Etapas de Correção
- O Ubuntu lançou atualizações de segurança (USN-8914-1) para resolver essa vulnerabilidade
- Administradores de sistema devem atualizar imediatamente os pacotes do Google Guest Agent e do OS Config Agent
- Revise e monitore os logs da infraestrutura em nuvem em busca de atividades suspeitas relacionadas a domínios
- Verifique se os controles de acesso baseados em hostname estão funcionando corretamente após aplicar os patches
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.