Abo
  • IT-Karriere:

Lacework: Mehr als 22.000 Containerverwaltungen öffentlich zugänglich

Die auf Amazons Web Services spezialisierte Sicherheitsfirma Lacework hat im Netz mehr als 22.000 Managementoberflächen zur Containerverwaltung gefunden, die hauptsächlich zu Kubernetes gehören. Als wäre das nicht schon schlimm genug, waren einige auch völlig ungeschützt im Netz.

Artikel veröffentlicht am , Kristian Kißling/Linux Magazin/
Eine Vielzahl von Kubernetes-UIs ist im Netz auffindbar.
Eine Vielzahl von Kubernetes-UIs ist im Netz auffindbar. (Bild: US Coast Guard Academy/Public Domain)

Wer viele Container betreibt, möchte diese komfortabel verwalten. Kubernetes erfreut sich in diesem Zusammenhang zunehmender Beliebtheit, doch es gibt auch andere Verwaltungswerkzeuge wie Portainer oder Docker Swarm. Viele dieser Plattformen bringen Weboberflächen mit, die dank der Public Cloud über öffentliche IP-Adressen erreichbar sind. Die Sicherheitsfirma Lacework hat nun rund 22.700 solcher Managementoberflächen öffentlich zugänglich aufgefunden.

Stellenmarkt
  1. maxon motor gmbh, Sexau nahe Freiburg im Breisgau
  2. Stadtwerke München GmbH, München

Die Zahlen weichen in den beiden zur Verfügung gestellten Dokumenten allerdings leicht voneinander ab, an anderer Stelle ist von rund 21.200 die Rede. Gefunden hat das Team die Instanzen über verschiedene Techniken wie ein einfaches Web-Crawling, die Nutzung von Shodan, "SSL-Data-Mining", also vermutlich eine systematische Suche nach Zertifikaten und Hosts, sowie internen Werkzeugen.

Zwar war die Mehrheit der Zugänge über Logindaten geschützt, aber 305 der gefundenen Cluster standen offen, waren also nicht per Passwort geschützt oder befanden sich noch im Setup-Prozess. Unbefugte hätten also kompletten Zugriff auf die Containerverwaltung, auch eine Remote Code Execution wäre über die API und User Interface möglich. Auch 38 Server mit einem Health-Check-Dienst namens Healthz für Containerumgebungen tauchten in der Suche auf. Der Zugriff auf diese erforderte ebenfalls keinerlei Zugangsdaten.

Laut der Daten von Lacework werden 95 Prozent der gefunden Managementoberflächen bei Amazons Web Services (AWS) gehostet, gefolgt von Googles Cloud-Angebot und OVH. Der Großteil der Oberflächen, 78 Prozent, gehörte zu Kubernetes, gefolgt von Docker Swarm mit Portainer und Swarmpit bei zusammen rund 20 Prozent. Auch erreichbar waren Oberflächen von Swagger API, Mesos Marathon und Red Hats Openshift. Die meisten offenen UIs wurden dabei in den USA gehostet (55 Prozent), gefolgt von Irland, Deutschland, Australien, Singapur und Großbritannien.

Auch geschützte UIs problematisch

Natürlich veröffentlicht Lacework die Erkenntnisse nicht ohne Eigennutz, hat sich das Unternehmen doch auf AWS-Security spezialisiert. Wie das Unternehmen in seiner Mitteilung schreibt, erhöhen aber auch mit Zugangsdaten geschützte Management-UIs die Angriffsfläche. Denkbar seien Brute-Force- und Dictionary-Angriffe, aber auch das Ausnutzen von Sicherheitslücken und Zugriffe auf Zertifikate.

Auch aus diesem Grund empfiehlt zum Beispiel Kubernetes-Initiator Google für seine Cloud, das Kubernetes-UI zu deaktivieren. Auch Lacework gibt verschiedene Tipps zum sicheren Umgang mit Containerverwaltungen. Neben einer Multi-Faktor-Authentifizierung empfehlen sie, den Zugang von UI- und API-Ports zu regulieren. TLS und valide Zertifikate helfen ebenso wie ein Bastion Host. Für Kubernetes empfiehlt die Firma, die Pods nur mit einem Read-only-Dateisystem zu betreiben, Privilege Escalation zu beschränken und eine Pod-Security-Policy zu entwerfen.



Anzeige
Spiele-Angebote
  1. 4,99€
  2. 44,99€
  3. 4,31€
  4. 137,70€

ul mi 04. Jul 2018

98.5% der gefundenen Managementoberflächen waren zugangsgeschützt. ;-)

Some0NE 04. Jul 2018

rm -rf / Dann ist wenigstens der Rest der Netizens geschützt.


Folgen Sie uns
       


Hyundai Kona Elektro - Test

Das Elektro-SUV ist ein echter Langläufer.

Hyundai Kona Elektro - Test Video aufrufen
E-Auto: Byton zeigt die Produktionsversion des M-Byte
E-Auto
Byton zeigt die Produktionsversion des M-Byte

IAA 2019 Die Premiere von Byton in Frankfurt ist überraschend. Da der M-Byte im kommenden Jahr in China startet, ist die Vorstellung des produktionsreifen Elektroautos in Deutschland etwas Besonderes.
Ein Bericht von Dirk Kunde


    Serielle Hybride: Unterschätzte Zwischenlösung oder längst überholt?
    Serielle Hybride
    Unterschätzte Zwischenlösung oder längst überholt?

    Die reine E-Mobilität kommt nicht so schnell voran, wie es Klimaziele und Luftreinhaltepläne erfordern. Doch viele Fahrzeughersteller stellen derweil eine vergleichsweise simple Technologie auf die Räder, die für eine Zukunft ohne fossile Kraftstoffe Erkenntnisse liefern kann.
    Von Mattias Schlenker

    1. ADAC Keyless-Go bietet Autofahrern keine Sicherheit
    2. Gesetzentwurf beschlossen Regierung verlängert Steuervorteile für Elektroautos
    3. Cabrio Renault R4 Plein Air als Elektro-Retroauto

    Party like it's 1999: Die 510 letzten Tage von Sega
    Party like it's 1999
    Die 510 letzten Tage von Sega

    Golem retro_ Am 9.9.1999 kam in den USA mit der Sega Dreamcast die letzte Spielkonsole der 90er Jahre auf den Markt. Es sollte auch die letzte Spielkonsole von Sega werden. Aber das wusste zu diesem Zeitpunkt noch niemand.
    Von Martin Wolf


        •  /