Google Cloud y Microsoft Azure enfrentan vulnerabilidades críticas conocidas como "confused deputy" que permiten a atacantes escalar privilegios y evadir controles de acceso en sus plataformas de nube. Estas fallas ponen en riesgo recursos empresariales y gubernamentales al comprometer las cadenas de confianza de identidades gestionadas.
Por qué importa: Estas vulnerabilidades permiten que actores maliciosos obtengan permisos administrativos sin autorización, comprometiendo la seguridad de infraestructuras críticas en la nube.
Lo esencial
- Justin O'Leary, investigador independiente, descubrió dos vulnerabilidades "confused deputy" en Azure y Google Cloud.
- Microsoft parcheó silenciosamente su falla en Azure Kubernetes Service tras el reporte, pero sin reconocer públicamente el hallazgo.
- El problema radica en la gestión deficiente de la identidad y acceso, permitiendo que solicitudes maliciosas se ejecuten con privilegios elevados.
Detalles de la vulnerabilidad en Azure Kubernetes Service
La primera vulnerabilidad afecta al servicio de respaldo de Azure Kubernetes Service (AKS). Utiliza un mecanismo llamado Trusted Access para que el almacén de backups acceda al clúster con permisos asignados. Sin embargo, un atacante puede explotar la falla para escalar privilegios desde un nivel básico de Backup Contributor, que no tiene permisos en Kubernetes, hasta obtener privilegios de administrador del clúster (cluster-admin). Esto permite exfiltrar datos sensibles o desplegar código malicioso dentro del entorno.
Falla similar en Google Cloud Platform
En Google Cloud, la vulnerabilidad también se relaciona con la cadena de confianza en identidades gestionadas. El problema permite que una entidad con permisos limitados engañe al sistema para ejecutar acciones con privilegios elevados, saltándose los controles de acceso. Aunque los detalles técnicos específicos no se revelaron, la naturaleza del problema es comparable al caso de Azure.
