Four Short Links(6): ChaosDB和CosMiss/云基础安全评估/Pixel锁屏绕过/上云安全指南

admin 2023年1月17日19:40:42云安全评论2 views1559字阅读5分11秒阅读模式

核酸结果出来延迟错过了动车,在车站里呆坐一个小时,学习了下CosMiss这个洞,顺便把这期写了点

Four Short Links(6): ChaosDB和CosMiss/云基础安全评估/Pixel锁屏绕过/上云安全指南


[CloudSec]Azure Cosmos DB上的两个严重漏洞:ChaosDBCosMiss

https://orca.security/resources/blog/cosmiss-vulnerability-azure-cosmos-db/

https://chaosdb.wiz.io/

本月Cosmos DB披露了CosMiss漏洞,让我想起了当初那个让我对云平台设计模式和安全架构产生兴趣的神洞 ChaosDB,如果要挖云平台漏洞,是一定绕不开ChaosDB的。另外,CosMiss本质上是个越权,但是在这个体量的产品下, 也是非常严重了。

ChaosDB  Azure 云平台中前所未有的严重漏洞,允许远程帐户接管 Azure 的旗舰数据库 - Cosmos DB。该漏洞由Wiz Research Team 2021 8 月向 Microsoft 披露,可让任何 Azure 用户在未经授权的情况下对其他客户的 Cosmos DB 实例进行完全管理访问(读、写、删除)。


Four Short Links(6): ChaosDB和CosMiss/云基础安全评估/Pixel锁屏绕过/上云安全指南


Orca Security  Azure Cosmos DB 上发现了一个非常重要的漏洞,其中 Cosmos DB Notebook缺少身份验证检查,将其命名为“CosMiss”。简之,如果攻击者知道Notebook的“forwardingId”,将拥有Notebook的全部权限,包括读写访问权限以及修改Notebook文件系统的能力运行Notebook的容器,通过修改容器文件系统,能够在Notebook容器中获得远程代码执行。



[CloudSec]观点:在云基础安全评估中扫描器应是补充而不是主要部分

https://towardsaws.com/aws-security-assessment-what-scanners-are-missing-and-how-threat-modeling-may-help-you-6a76c1c843f3


在云基础架构中进行威胁建模,上下文比任何时候都重要,有时候看单一的场景是安全的,但是结合上下文,往往就取决于某个薄弱的环节。而现阶段的云扫描工具,多是基于单一产品的配置进行检查,更多的可以作为基线检查辅助工具,但是离作为云产品安全评估工具还是远远不够的。


[BugBountyTips]意外的7万美元Google Pixel 锁屏绕过

https://bugs.xdavidhu.me/google/2022/11/10/accidental-70k-google-pixel-lock-screen-bypass/?utm_source=newsletter&utm_medium=email&utm_campaign=bug_bytes_182_infosec_twitter_migrates_to_mastodon_google_pixel_lock_screen_bypass_and_next_gen_spidering_with_katana&utm_term=2022-11-16

我对于安卓这些漏洞是不咋懂的,但是这篇文章的行文记录还是蛮有意思的,“意外触发,不停尝试,复现操作,提交报告,漏洞重复,催修漏洞,获得奖励“,是个轴人。


[CloudSec]阿里云企业上云安全指引白皮书

https://developer.aliyun.com/ebook/466


虽然是19年发布的,但是现在来看并没有落后太多,基于这个文档,可以对整个云环境架构设计和云安全产品使用有一个完整的概念。


查看往期



原文始发于微信公众号(电驭叛客):Four Short Links(6): ChaosDB和CosMiss/云基础安全评估/Pixel锁屏绕过/上云安全指南

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年1月17日19:40:42
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  Four Short Links(6): ChaosDB和CosMiss/云基础安全评估/Pixel锁屏绕过/上云安全指南 http://cn-sec.com/archives/1417567.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: