События

Уязвимость в Traefik раскрывает закрытые ключи TLS-сертификатов

На этой неделе в популярном обратном прокси-сервере с открытым исходным кодом Traefik была исправлена серьезная уязвимость. При определенных условиях уязвимость (CVE-2018-15598) могла привести к утечке закрытых ключей для TLS-сертификатов компаний, чья инфраструктура размещена на облачных серверах.

Поскольку Traefik является довольно сложным решением, в нем предусмотрена специальная панель, облегчающая пользователям управление настройками. На прошлых выходных исследователь безопасности Эд Фоудил (Ed Foudil) обнаружил , что в случае, если доступ к панели возможен через интернет, злоумышленник может удаленно запросить ее API через порт 8080.

По словам исследователя, одна из конечных точек API позволяет атакующему запросить у прокси-сервера Traefik данные о настройках TLS и даже извлечь копию закрытого ключа для используемого компанией TLS-сертификата. С помощью ключа злоумышленник может расшифровать перехваченный трафик или зашифровать web-трафик (HTTPS) таким образом, чтобы он выглядел, будто исходит с официального сайта атакуемой компании.

Как сообщает британский исследователь Робби Уиггинс (Robbie Wiggins), помимо прочего, уязвимость раскрывает сайты .onion. Уиггинс также опубликовал скрипт для поиска уязвимых установок Traefik через Shodan.

Проблема была исправлена в версии Traefik 1.6.6, выпущенной 20 августа текущего года. Теперь при включении API панели управления будет появляться уведомление, предупреждающее об опасности подобных действий.

Обратный прокси-сервер – тип прокси-сервера, ретранслирующий запросы клиентов из внешней сети на один или несколько серверов, логически расположенных во внутренней сети. В отличие от обычного прокси, перенаправляющего запросы клиентов к любым серверам в интернете и возвращающего им результат, обратный прокси непосредственно взаимодействует лишь с ассоциированными с ним серверами и возвращает ответ только от них.

Источник

Автор: Сергей Куприянов
22.08.2018 (11:08)
Пройди тест и узнай об этом!
Информер новостей
Расширение для Google Chrome
Пишите нам

Редакция: info@alterprogs.ru

Реклама: adv@alterprogs.ru

Все права защищены © 2010-2019

"Alterprogs.ru" - технологии будущего

Контакты  | Карта сайта

Использование любых материалов, размещенных на сайте, разрешается при условии ссылки на alterprogs.ru. Для интернет-изданий - обязательна прямая открытая для поисковых систем гиперссылка. Ссылка должна быть размещена в независимости от полного либо частичного использования материалов. Материалы в рубрике "Новости партнеров" публикуются на правах рекламы.