PingCAPs eigene Pipeline spülte 10,6 TB TiDB-Cloud-Daten nach außen – 88 Exporte lang unbemerkt
PingCap TiDB Leaks
Ein Sicherheitsforscher-Team veröffentlicht einen massiven Datenabfluss bei PingCAP, dem Betreiber von TiDB Cloud: 10,6 TB, darunter der komplette Control Plane, 115.308 im Klartext gespeicherte Kunden-API-Keys, 20,6 Millionen SQL-Statements von Kunden sowie Finanz- und CRM-Daten. Besonders brisant: Die Angreifer nutzten in den Repositories hinterlegte GCP- und Azure-Credentials, um sich alle sechs Stunden automatisch eine Kopie der Produktionsdatenbank zustellen zu lassen – 88 Mal in Folge, ohne dass PingCAP dies bemerkte. Ein internes Jira-Ticket von 2022 dokumentierte bereits eine schwerwiegende Isolationslücke.
Jeden sechs Stunden, an den letzten zweiundzwanzig Tagen der Kampagne, vom 8. bis 30. September, exportierte diese Pipeline getreulich jede Tabelle des operativen Herzens von TiDB Cloud – Tenants, Nutzer, API-Keys, Cluster-Credentials, Changefeeds, Migrationen – und schickte sie hinaus. Achtundachtzig aufeinanderfolgende Exporte, kein einziger erkannt.
- dherls
Wenn das stimmt, ist das nächste Stufe der Inkompetenz von PingCap. Angeblich haben die Angreifer einen Monat lang eine Replikationspipeline eingerichtet?!
> Wir haben sogar einen Replikationsfeed ihrer eigenen Control-Plane-Datenbank mit Zugangsdaten aufgesetzt, die in ihren eigenen Repositories eingecheckt waren – GCP-Service-Account-Keys und ein Azure-Service-Principal – und ihre Infrastruktur hat ihn uns geliefert. Alle sechs Stunden, an den letzten zweiundzwanzig Tagen der Kampagne, vom 8. September bis zum 30. September, hat diese Pipeline getreulich jede Tabelle des operativen Herzens von TiDB Cloud – Tenants, Benutzer, API-Keys, Cluster-Zugangsdaten, Changefeeds, Migrationen – erneut exportiert und nach außen gepusht.
- nemothekid
Mann, ich habe kürzlich eine Migration von Aurora zu Planetscale durchgeführt. Ich habe PingCap ernsthaft in Betracht gezogen, mich aber dagegen entschieden, weil ich dachte, ihre Cloud-Preise seien zu komplex. Ich frage mich, ob meine persönlichen Daten in dem Leak sind.
- arpinum
AWS-Private-Rates geben PingCAP etwa 47 % Rabatt auf den Listenpreis. Ich frage mich, welche Services die größten Rabatte bekommen haben? Wenig überraschend für ein DB-Unternehmen macht der Cross-AZ-Traffic 15 % ihrer Rechnung aus.