阿里云PostgreSQL数据库的安全隐患

关键要点

• 阿里云的ApsaraDB RDS和AnalyticDB for PostgreSQL存在名为“BrokenSesame”的两项严重漏洞。
• 漏洞可能导致租户隔离保护被破坏，敏感数据被访问。
• 虽然目前没有证据表明这些漏洞正在被积极利用，但存在潜在的供应链攻击风险。
• 攻击者可能借此利用漏洞，进入客户数据库，并进行远程代码执行。

阿里云的ApsaraDB RDS和AnalyticDB forPostgreSQL被发现存在两项名为“BrokenSesame”的严重漏洞，这可能会导致租户隔离保护的泄露和敏感数据的访问，这一消息来源于。尽管没有证据表明这些漏洞正在遭到实际利用，但威胁行为者可能会利用BrokenSesame渗透阿里云客户的PostgreSQL数据库，并对这两项数据库服务实施供应链攻击，从而导致远程代码执行，Wiz的报告显示。

攻击者还可能利用这些漏洞，从API服务器中检索与容器注册表相关的凭据，以启动一个可能劫持客户数据库的映像。Wiz研究人员表示：“用于拉取映像的凭据未正确范围限制，允许推送权限，为供应链攻击奠定了基础。”这一报告恰逢PaloAlto Networks Unit 42报道的威胁行为者对典型问题的不断利用。

如图所示，以下是漏洞影响的详细信息：

随着对云服务安全性的关注不断提升，企业需加强自身的安全措施，以避免潜在的威胁和数据泄露风险。