כל הכתבות של CyberNow בנושא ענן — 31 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
חברת האבטחה הישראלית Wiz התריעה, ותוך שעתיים הורתה פלטפורמת הענן Northflank ללקוחותיה להחליף כל סיסמה ומפתח שהם שמרו אצלה. למחרת דיווחו לקוחות שמפתחות ה-AI שלהם נוצלו בפועל.
GMO Internet ביקשה מלקוחות שירות הענן שלה לכבות את המחשבים ולנתק אותם מהחשמל עד הצהריים, אחרי שהתוקף שפרץ לשירות איים להפעיל כופרה באותה שעה. ברוקר יפני אישר שגורם שלישי כבר סחר בחשבונות של לקוחות.
שתי התראות שפרסם פרויקט Wasmtime ב-19 באוקטובר מתארות דרכים שונות לחלוטין להוציא קוד מתוך ארגז החול של WebAssembly, ושתיהן יושבות ב-compiler ולא במנוע עצמו. אחת מהן קיימת בכל גרסה שתומכת ב-ARM64 מאז 2020.
Wiz עוקבת מאז 15 בספטמבר אחרי Gheist, קמפיין שמשתיל workflow בכל repository שה-token הגנוב מגיע אליו, מדפיס את הסודות ללוג של הריצה ומוריד אותו דרך ה-API של GitHub. אין שרת תוקף ואין חיבור יוצא שאפשר לחסום, וההגנה שגיטהאב הוסיפה ביולי עצרה את זה ב-repositories ציבוריים בלבד.
OpenAI שלחה צוותים של מודלים חזיתיים לתקוף את התשתית שבה היא מאמנת אותם, והם יצאו מה-microVM, מצאו דרכים לאינטרנט דרך שירותי המטריקות והאימות, והקימו ערוץ תקשורת דרך זיכרון המעבד. במקביל בדקו METR ו-Redwood Research את מערכת הניטור עצמה, ומצאו שאפשר היה לעקוף אותה.
מיקרוסופט פרסמה ב-21 באוקטובר מי לדעתה עומד מאחורי הפריצה לשירות הגיבוי של ConnectWise, ואיך היא נעשתה: מסגרת שמריצה סוכני AI, שניסתה סיסמאות בקצב של 2,900 בדקה ובמקרים מסוימים הגיעה להרשאות גבוהות בתוך שלוש שעות.
חוקרי pwn.ai מצאו שמטא-דאטה של checksum שמגיעה ממכונה וירטואלית יכולה לשנות את כותרת ה-IPv4 אחרי שהקרנל של המכונה הפיזית כבר בדק אותה ואישר אותה. התוצאה היא דליפת זיכרון מתמשכת, שהודגמה על סביבות הייצור של Vercel, ובמעבדה גם הרצת קוד עם הרשאות root.
Huntress מדווחת שהמפתח הסודי של שירות הגיבוי ConnectWise Cloud Backup, שנקרא בעבר SkyKick, הגיע לידי תוקף ושימש לאיסוף token-ים ל-Microsoft Graph ב-162 סביבות Microsoft 365 לפחות. המפתח שמור אצל הספק ולא אצל הלקוח, ולכן החלפת סיסמאות או MFA בצד הלקוח לא משנות כאן דבר.
חולשה בציון 9.2 בתוסף העריכה המשותפת של Nextcloud מאפשרת להריץ פקודות על השרת בלי שום התחברות, והיא מנוצלת מאז 10 בספטמבר. התיקון יצא יום אחר כך, אבל לא הוצג כתיקון אבטחה, והמספר הרשמי של החולשה פורסם רק ב-14 באוקטובר.
ב-8 באוקטובר נדחף workflow בשם "Security Audit" ל-345 מאגרי GitHub בשני גלים אוטומטיים, דרך חשבונות של שני מתחזקים שנפרצו. הגרסה החדשה של המטען לא מסתפקת ב-secrets שמוגדרים במאגר, היא סורקת את כל היסטוריית ה-git אחרי מפתחות ענן ו-AI.