Bad.Build-Sicherheitslücke: Google-Cloud-Schwachstelle gefährdet Lieferketten

Foto: ASAG Studio – shutterstock.com

Google Cloud Build ist eine Managed-CI/CD-Plattform, die es Unternehmen und Entwicklern ermöglicht, Programmieraufgaben auf Google Cloud in einer Vielzahl von Sprachen auszuführen. Dazu unterstützt der Dienst den Import von Quellcode aus Repositories und Cloud-Speichern, erstellt den Code auf Grundlage vordefinierter Spezifikationen und erzeugt Artifakte wie Container Images, die direkt in Produktionsumgebungen bereitgestellt werden können. Cloud Build lässt sich darüber hinaus mit anderen Google-Diensten wie Artifact Registry, Kubernetes Engine und App Engine integrieren – ermöglicht also weitreichende Zugriffsmöglichkeiten.

Wie Forscher von Orca Security herausgefunden haben, lässt sich dabei die Permission “cloudbuilds.builds.create” potenziell für Rechteausweitung und in der Folge für Supply-Chain-Angriffe ausnutzen.

Bad.Build: Akute Gefahr für Supply Chains

“Diese Sicherheitslücke stellt ein signifikantes Risiko für die Lieferkette dar, weil sie Angreifern erlaubt, Applikations-Images zu manipulieren. Benutzer und Kunden, die diese Applikationen installieren, werden infiziert. Wie wir bei den Supply-Chain-Angriffen auf SolarWinds, 3CX und zuletzt MOVEit gesehen haben, kann das weitreichende Konsequenzen nach sich ziehen”, warnen die Sicherheitsexperten in einem Blogbeitrag.

Betroffen sind von der Google-Cloud-Sicherheitslücke nach Auskunft der Forscher sämtliche Organisationen, die die Artifact Registry von Google Cloud als Haupt- oder Sekundär-Repository verwenden. Wie eine Kompromittierung vonstatten geht, beschreiben die Orca-Experten in ihrem Blogbeitrag sehr ausführlich – der folgende Screenshot zeigt die Kill Chain von “Bad.Build” auf einen Blick:

Foto: Orca Security

Die Orca-Forscher haben ihre Erkenntnisse bereits mit dem Security Team von Google geteilt, das die Sicherheitslücke allerdings nur teilweise beheben konnte. Wie Orca Security betont, bestehe die Gefahr für Privilege Escalation und Angriffe auf die Lieferkette weiterhin fort.

Die Experten unterstreichen deshalb: “Für Organisationen ist es essenziell, das Verhalten des Google Cloud Build Service Accounts genau im Auge zu behalten. Das Least-Privilege-Prinzip anzuwenden sowie Cloud-Detection- und -Response-Fähigkeiten zu implementieren, um Anomalien zu identifizieren, können das Risiko reduzieren.” (fm)

Sie wollen weitere interessante Beiträge rund um das Thema IT-Sicherheit lesen? Unser kostenloser Newsletter liefert Ihnen alles, was Sicherheitsentscheider und -experten wissen sollten, direkt in Ihre Inbox.

Jetzt CSO-Newsletter sichern

Dieser Beitrag basiert auf einem Artikel unserer US-Schwesterpublikation CSO Online.