Bunny.net stoppt CDN-Knoten nach Sicherheitsvorfall bei Infrastruktur-Anbieter
Bunny CDN Security Incident
Ein Infrastruktur-Anbieter von bunny.net meldete unbefugten Zugriff über Server-Management-Software von Drittanbietern. Ein CDN-Knoten in Armenien lief auf einem betroffenen Server. Das Team stoppte den Traffic innerhalb von 20 Minuten, löschte die Maschine sicher und entzog ihr den Zugriff. Beide Untersuchungen fanden keine Hinweise auf einen Zugriff, dennoch wurden vorsorglich alle TLS-Zertifikate für die Plattform-Domains widerrufen und neu ausgestellt.
Während keine der beiden Untersuchungen einen Hinweis auf unbefugten Zugriff auf unseren Server gefunden hat, können wir die Möglichkeit nicht vollständig ausschließen.
- colonCapitalDee
Schnelle und kompetente Reaktion, wie man es von bunny erwartet.
"Letzte Woche meldete einer unserer Infrastrukturanbieter unbefugten Zugriff im Zusammenhang mit Serververwaltungssoftware von Drittanbietern. Einer unserer CDN-Knoten in Armenien wurde auf einem Server gehostet, der von diesem Anbieter bereitgestellt wurde.
Nach Erhalt der Warnung vom betroffenen Anbieter handelte unser Engineering-Team sofort. Innerhalb von 20 Minuten haben wir den Datenverkehr über den Server eingestellt. Anschließend haben wir die relevanten Sicherheitsprotokolle für die Untersuchung überprüft und gesichert, den Server sicher gelöscht und seinen Zugriff auf unsere anderen Systeme widerrufen. Der betroffene Server wurde dauerhaft aus unserer Infrastruktur entfernt."
- eraclide
Bunny nutzte Gcore in Armenien. Gcore selbst wurde gehackt, nicht Bunny. Bunny war nur ein betroffener Downstream, und das nur bei einem ihrer POPs.
https://lowendtalk.com/discussion/222315/gcore-compromised-v...
Der Titel ist stark irreführend.
- bobtheborg
Obwohl keine der Untersuchungen Hinweise auf einen unbefugten Zugriff auf unseren Server gefunden hat, können wir die Möglichkeit nicht vollständig ausschließen.
Sollte es tatsächlich zu einem unbefugten Zugriff auf unseren CDN-Knoten gekommen sein, wären die potenziell exponierten Informationen gewesen: vorübergehend zwischengespeicherte CDN-Inhalte, Pull-Zone-Konfigurationen und auf diesem Server gespeicherte TLS-Zertifikate.
Als zusätzliche Vorsichtsmaßnahme haben wir alle TLS-Zertifikate für die Domains der bunny.net-Plattform (b-cdn.net und bunny.run) widerrufen und neu ausgestellt. Die Neuausstellung der verwalteten TLS-Zertifikate für benutzerdefinierte Domains läuft und soll innerhalb der nächsten 24 Stunden abgeschlossen sein. Für Kunden, die verwaltete Zertifikate nutzen, ist keine Aktion erforderlich. Wir werden auf unserer Statusseite ein weiteres Update veröffentlichen, sobald dieser Vorgang abgeschlossen ist.
Wenn Sie Ihre eigenen TLS-Zertifikate verwalten, empfehlen wir als Vorsichtsmaßnahme, diese zu widerrufen und mit neuen privaten Schlüsseln neu auszustellen.
Auf dem betreffenden Server wurden keine anderen Kundendaten, einschließlich bunny.net-Kontodaten, gespeichert, und es waren keine internen Systeme betroffen.
Es scheint also, dass der zugrunde liegende Anbieter möglicherweise beispielsweise Lesezugriff auf die Festplatte ermöglicht hat, und das oben ist, was laut bunny in diesem Fall auf der Festplatte gewesen sein könnte? Verstehe ich das richtig?
- evan_a_a
> Nach Erhalt der Warnung vom betroffenen Anbieter handelte unser Engineering-Team sofort. Innerhalb von 20 Minuten haben wir den Datenverkehr über den Server eingestellt. Anschließend haben wir die relevanten Sicherheitsprotokolle für die Untersuchung überprüft und gesichert, den Server sicher gelöscht und seinen Zugriff auf unsere anderen Systeme widerrufen. Der betroffene Server wurde dauerhaft aus unserer Infrastruktur entfernt.
Wenn man auf eine mögliche Sicherheitsverletzung reagiert, besteht das korrekte Protokoll darin, den Vorfall einzudämmen und ALLES für die Untersuchung zu bewahren. Versuchen Sie nicht, selektiv zu sein, welche Daten Sie behalten und welche nicht. Sie haben leider wahrscheinlich Beweise zerstört und werden nicht feststellen können, ob der Angreifer tatsächlich in den Server eingedrungen ist oder nicht, und wenn ja, wie. Das spricht dafür, dass sie einen schlechten oder nicht existierenden Plan zur Vorfallreaktion haben.
- bitlad
Es fühlt sich an, als gäbe es jede Stunde einen Vorfall.