Databedrijf Attunity lekt terabyte aan back-ups via cloudopslag
Bedrijfsdocumenten, systeemwachtwoorden, 750 gigabyte aan mailback-ups en andere gegevens van databedrijf Attunity waren voor iedereen op internet toegankelijk. Onderzoekers van securitybedrijf UpGuard ontdekten drie publiek toegankelijke Amazon S3-buckets van het bedrijf, dat begin dit jaar door het Zweedse data-analyticsbedrijf Qlik werd overgenomen.
Attunity verzorgt data-replicatie, data-integratie en big data-management voor allerlei bedrijven. Naar eigen zeggen is de helft van de Fortune 100 klant van het bedrijf. Halverwege mei ontdekten onderzoekers drie S3-buckets van Attunity. Amazon Simple Storage Service (S3) is een cloudopslagdienst. Standaard zijn de gegevens in S3-buckets niet zomaar toegankelijk, maar het is mogelijk om een S3-bucket zo te configureren dat iedereen vanaf het internet er toegang toe heeft. Alleen het kennen van de url van de S3-bucket is voldoende.
De hoeveelheid gegevens in de drie buckets van Attunity is onbekend, maar onderzoekers besloten een bestand van ongeveer één terabyte te downloaden. Het ging onder andere om mailback-ups van in totaal 750 gigabyte. Ook back-ups van OneDrive-accounts werden aangetroffen. In de back-ups werden wachtwoorden voor Twitter- en vpn-accounts aangetroffen, alsmede allerlei data van werknemers. Het ging onder andere om salarisgegevens, namen en geboortedata. In de buckets vonden de onderzoekers ook inloggegevens voor de SAP-systemen van Attunity. Verder werden er van sommige klanten data aangetroffen, waaronder Netflix. Na te zijn ingelicht door de onderzoekers werden de buckets beveiligd.
Foutje?
Ze zouden toch beter moeten weten.....
Enige nouance is hier wel op zijn plaats.. S3 buckets stonden tot voor kort standaard open tenzij. Het kennen van de url was de beveiliging... Er is een zoekmachine die deze buckets identificeert. Je hoeft helemaal niets te "onderzoeken"..
https://buckets.grayhatwarfare.com/
Zoals bijvoorbeeld - https://tempdev.s3-us-west-2.amazonaws.com/ in combinatie met bootstrap.js narigheid.
Het zou wel makkelijk zijn om met een enkele zoekactie en een kant en klaar scriptje zo toegang te krijgen,
volgens het aloude recept zoek de kwetbaarheid via shodan en dan de bijbehorende exploitcode.
Een soort "Zoekt en gij zult vinden. Klopt en u zal opengedaan worden" in digitale zin.
We weten inmiddels de oorzaak van alle ellende, enkele grote partijen in het geheel
verdienen meer aan een partieel onveilig Internet dan aan de veiliger variant.
Dus we zullen dergelijke berichtjes nog wel vaak gaan lezen.
#sockpuppet
Enige nouance is hier wel op zijn plaats.. S3 buckets stonden tot voor kort standaard open tenzij. Het kennen van de url was de beveiliging... Er is een zoekmachine die deze buckets identificeert. Je hoeft helemaal niets te "onderzoeken"..
https://buckets.grayhatwarfare.com/
Security through obscurity.... altijd FOUT!
Enige nouance [sic] is hier wel op zijn plaats.. S3 buckets stonden tot voor kort standaard open tenzij.
Weet je dat zeker?
https://blog.rapid7.com/2013/03/27/open-s3-buckets/
Weet je dat zeker?
Alleen is het een flinke faal voor privacy en security.
Om iets werkend te krijgen heeft men al snel open access I gesteld. Dan doet het het tenminste.
Het is de de standaard bij open source goedkoop en snel.
Veel security is feitelijk op de keper beschouwd bij toepassing "snake oil" gebleken.
Een mooi verhaaltje waar soms doorheen te prikken valt.
Ook alle lappen onvolledig gedocumenteerde of ongedocumenteerde propriety code
heeft de zelfde veiligheidsrisico's mogelijk in zich. Zint eer gij begint is derhalve het credo
of wel fuzz it, Yara't en SNYK ze. Voel het aan de tand.
Onveilige code is vaak als de kaken van de krokodil - krachtig in het neerklappen, minder sterk om open te kunnen sperren
als het getaped (gepatched) is. De bek met tape van de alligator gaat moeilijk open.
luntrus
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
