Google Cloud Build 关键漏洞的安全隐患

关键要点

报告指出，攻击者可能利用名为“BadBuild”的 Google Cloud Build 中的一个关键设计漏洞，以实现特权升级，并获得未授权的 Google Artifact Registry 代码库存取权限。BleepingComputer的报告显示，这种缺陷还可能被用来进行应用程序镜像接管和恶意代码注入，从而导致供应链攻击。Orca Security 的报告指出：“潜在影响是多种多样的，适用于所有使用 Artifact Registry 作为主要或次要镜像库的组织。首先且直接的影响是打断依赖这些镜像的应用程序运行。这可能导致 [拒绝服务攻击]、数据盗窃，并向用户传播恶意软件。” 研究员 Roi Nisimi 说。

尽管 Google在 Orca Security 报告漏洞后已部分修复了该缺陷，但 Nisimi 指出，由于 Google 尚未完全解决特权升级的攻击向量，因此供应链风险依然存在。他还补充说：“实施最小特权原则和云检测响应能力，以识别异常情况，是降低风险的一些建议。”

相关链接： Google Cloud Security Overview Understanding Supply Chain Attacks

这个漏洞的持续存在意味着组织必须高度重视其云安全策略并采取必要的措施来保护其数据和应用程序。