Cloud Amazonu umožňoval útočníkům manipulaci s virtuálními stroji

Pavel Houser , 01. listopad 2011 07:57 0 komentářů

Bezpečnostní výzkumníci objevili, že webové služby Amazonu obsahovaly zranitelnost, která útočníkům mohla dovolit ovládnout část cloudových služeb a provádět zde operace s vysokými uživatelskými oprávněními.

V rámci služeb EC2 by zneužití chyby umožnilo narušitelům např. spouštět nebo zastavovat virtuální stroje či vytvářet nové obrazy. Hlavní příčinou zranitelnosti je údajně špatně implementované šifrování/autentizace.

Na postup upozornili vědci z německé univerzity Ruhr-Universität. Útok využíval XML podpisů, které mohly manipulovat se zprávami protokolu SOAP tak, že je autentizační systém pokládal za pravé. Jádro problému mělo spočívat v tom, že ověření podpisu a zpracování XML se v rámci rozhraní Amazonu provádělo odděleně, což do systému umožňovalo propašovat nepodepsaný kód.

Zranitelnosti tohoto druhu byly poprvé objeveny již v roce 2005 a od té doby se s nimi cloudové systémy v té či oné míře stále potýkají. Podobným problémem podle výzkumníků trpěl např. i open source systém Eucalyptus, což je framework pro instalace privátních cloudů (de facto implementace API Amazon EC2). Možným řešením je změnit způsob, jak se podepisují podstromy. Stejní lidé rovněž uvádějí, že služby Amazonu jsou zranitelné i pomocí útoků cross-site scripting.

Výzkumníci před svou prezentací upozornili na problémy Amazon i tvůrce systému Eucalyptus. V tuto chvíli jsou již bezpečnostní chyby údajně odstraněny.

Zdroj: The Register


Komentáře

RSS 

Komentujeme

Kradená auta: Další úkol pro bezpečnostní kamery

Pavel Houser , 16. srpen 2017 06:30
Pavel Houser

Bezpečnostní kamery, které hledají ukradená vozidla nebo mají za úkol vozidlo jednoznačně identifiko...

Více






Kalendář

24. 08. Webinář Synology - DSM 6.1 - Virtual Machine Manager
27. 08.

31. 08.
VMworld 2017
01. 09.

06. 09.
IFA 2017
RSS 

Zprávičky

Euronics a Kasa chystají nový sklad v Jirnech u Prahy

Pavel Houser , 16. srpen 2017 11:00

Skladníci již nebudou chodit pro zboží, ale zboží „přijede“ za nimi. Chytré technologie umožní vyexp...

Více 0 komentářů

Oracle Exadata Cloud i na cloudové infrastruktuře nové generace

Pavel Houser , 16. srpen 2017 10:04

Deklarované přednosti: obří výkon, jednoduchá migrace do cloudu a plná kompatibilita s databázemi Or...

Více 0 komentářů

Operátoři si stěžují EK kvůli dotacím na rychlý internet

ČTK , 16. srpen 2017 09:00

O dotaci na budování vysokorychlostních přípojek v zaostalých regionech se po více než třech měsícíc...

Více 0 komentářů

Starší zprávičky

Mall Group přebírá Košík.cz

Pavel Houser , 15. srpen 2017 17:45

Spojení obou firem by mělo vést ke vzniku nové jedničky v segmentu on-line prodeje potravin. ...

Více 0 komentářů

Praha dá 1,4 milionu měsíčně na fungování datové platformy

ČTK , 15. srpen 2017 13:52

V rámci koncepce Smart Prague město zatím spustilo chytré lavičky a solární odpadkové koše....

Více 0 komentářů

Datart se chce spojit s majitelem prodejen Euronics a Kasa.cz

ČTK , 15. srpen 2017 11:02

Úřad pro ochranu hospodářské soutěže (ÚOHS) začal posuzovat jednu z největších transakcí na trhu s e...

Více 0 komentářů

Facebook včera v ČR spustil bazar Marketplace

ČTK , 15. srpen 2017 09:00

Facebook pokračuje ve strategii vyzobávání služeb, které mají obchodní potenciál, a jejich zahrnován...

Více 0 komentářů