Hơn 300 nghìn phiên bản Prometheus bị lộ, thông tin đăng nhập và khóa API bị rò rỉ trực tuyến

Các nhà nghiên cứu an ninh mạng đang cảnh báo rằng hàng nghìn máy chủ lưu trữ bộ công cụ giám sát và cảnh báo Prometheus có nguy cơ rò rỉ thông tin và đối mặt với các cuộc tấn công từ chối dịch vụ (DoS) cũng như thực thi mã từ xa (RCE).

Các máy chủ Prometheus thường thiếu xác thực thích hợp, cho phép kẻ tấn công dễ dàng thu thập thông tin nhạy cảm, chẳng hạn như thông tin đăng nhập và khóa API. Việc bị lộ các điểm cuối "/debug/pprof" được sử dụng để xác định mức sử dụng bộ nhớ heap, mức sử dụng CPU và các điểm khác có thể đóng vai trò là vectơ cho các cuộc tấn công DoS, khiến máy chủ không thể hoạt động.

Có tới 296.000 phiên bản Prometheus Node Exporter và 40.300 máy chủ Prometheus đã được ước tính có thể truy cập công khai qua internet, khiến chúng trở thành một bề mặt tấn công lớn có thể khiến dữ liệu và dịch vụ gặp rủi ro.

Các máy chủ Prometheus chưa được xác thực cho phép truy vấn trực tiếp dữ liệu nội bộ, có khả năng làm lộ bí mật mà kẻ tấn công có thể khai thác để có được kết nối ban đầu trong các tổ chức khác nhau. Ngoài ra, người ta nhận thấy rằng điểm cuối "/metrics" không chỉ có thể tiết lộ các điểm cuối API nội bộ mà còn cả dữ liệu về subdomains, Docker registries, và images. Kẻ tấn công có thể gửi nhiều request đồng thời đến các điểm cuối như "/debug/pprof/heap" để kích hoạt các tác vụ heap profiling tiêu tốn CPU và bộ nhớ, có thể làm quá tải máy chủ và khiến chúng gặp sự cố.

Các tổ chức được khuyến nghị bảo mật các máy chủ và Prometheus exporter bằng các phương pháp xác thực thích hợp, hạn chế tiếp xúc công khai, giám sát các điểm cuối '/debug/pprof' để tìm bất kỳ dấu hiệu hoạt động bất thường nào và thực hiện các bước để tránh các cuộc tấn công RepoJacking.

Nguồn: The Hacker News

Công ty CP Dịch vụ an toàn thông tin TP.HCM (HISSC) chuyên cung cấp các dịch vụ về an ninh mạng gồm:

  • Điện toán đám mây.

  • Mạng phân phối nội dung

  • Giám sát an toàn thông tin mạng.

  • Bảo vệ an toàn thông tin đầu cuối.

  • Sao lưu, phục hồi dữ liệu.

  • Diễn tập phòng chống tấn công mạng.

  • Kiểm tra, đánh giá an toàn thông tin mạng.

  • Đào tạo an toàn thông tin.

  • Dịch vụ khác:

    • Triển khai tích hợp giải pháp công nghệ an toàn thông tin theo yêu cầu.
    • Cho thuê thiết bị an toàn thông tin, công nghệ thông tin

Liên hệ dịch vụ: