弱點概述

在六月時，Wiz 的工程師在 OCI （Oracle Cloud Infrastructure） 中發現了一個嚴重的弱點，又稱 #AttachMe，會使敏感的資料洩漏或是使惡意攻擊者透過讀寫，將文件修改成可被執行的惡意程式。

在被通知之後的24小時內， OCI 完成了對此弱點的修補，且不需使用者們對版本進行更新。

 

弱點細節

在 #AttachMe 的弱點中，惡意攻擊者不需要得到 OCI 使用者的許可，便可以對使用者在雲端上虛擬磁碟（volume）中的資料進行竄改。虛擬磁碟可以分為 block volume 和 boot volume 兩種，皆可以提供穩定的雲端儲存空間。惡意攻擊者透過 Volume 取得敏感資料的流程如下：

（1） 惡意攻擊者透過低權限的帳號或是在網路上尋找並找到一個可以被利用的虛擬磁碟的 OCID。

（2） 在與該虛擬磁碟的OCID同樣的 Availability Domain （AD） 中啟動一個虛擬機 （compute instance ）

（3） 將該名使用者的虛擬磁碟附加到該虛擬機上，從而獲得對此虛擬磁碟讀取和寫入的權限。

一旦惡意攻擊者取得對於此虛擬磁碟讀取和寫入的權限，便可以下載儲存於該 volume 的敏感資料，或者是透過與此虛擬磁碟與其他虛擬磁碟的連結，取得更多的敏感資料。除了水平的資料存取之外，wiz 的研究團隊發現，有心人士也可以自行調升瀏覽和取用的權限。後續，有心者亦可以對於現有的虛擬磁碟結構進行更改，更方便惡意代碼的執行。

 

詳細的漏洞指令與示範請參考：https://www.wiz.io/blog/attachme-oracle-cloud-vulnerability-allows-unauthorized-cross-tenant-volume-access

 

參考資料

1. critical vulnerability in oracle cloud infrastructure allowed unauthorized access, infosecurity （20 Sep 2022）- https://www.infosecurity-magazine.com/news/flaw-in-oracle-cloud-unauthorized/

2. AttachMe: critical OCI vulnerability allows unauthorized access to customer cloud storage volumes, wiz blog （20 Sep 2022）- https://www.wiz.io/blog/attachme-oracle-cloud-vulnerability-allows-unauthorized-cross-tenant-volume-access