TiDB Cloudの制御プレーンが10.6TB流出、PingCAPは88回の連続エクスポートを検知できず
PingCap TiDB Leaks
PingCAPのTiDB Cloudから10.6TB、490万ファイルが流出した。攻撃者は同社リポジトリにコミットされた認証情報を使い、制御プレーンのDBを複製。9月8日から30日まで6時間ごとに88回連続で再エクスポートさせたが、検知イベントはゼロだった。180,046テナント、115,308の平文APIキー、2,064万件の顧客SQL文、413の非公開リポジトリが含まれる。Jiraには2022年にマルチテナント分離の脆弱性が記録されていた。
自社のクラウドサービスに対する可視性が皆無のようだ。これは我々が侵害した企業では残念ながら標準的だが、クラウドプロバイダーとしては言語道断かつ無責任極まりない。
HNでの議論
15- dherls
もし本当なら、これはPingCapの次元が違う無能さだ。どうやら攻撃者は1ヶ月間レプリケーションパイプラインを設置していたらしい？！
> 我々は彼らのリポジトリにコミットされていた認証情報——GCPサービスアカウントキーとAzureサービスプリンシパル——を使って、彼ら自身のコントロールプレーンデータベースのレプリケーションフィードを立ち上げ、彼らのインフラに我々のところまで配信させた。キャンペーンの最後の22日間、9月8日から9月30日まで、6時間ごとに、そのパイプラインはTiDB Cloudの運用の心臓部にある全テーブル——テナント、ユーザー、APIキー、クラスタ認証情報、チェンジフィード、マイグレーション——を忠実に再エクスポートし、外部に送信した。
- nemothekid
先日AuroraからPlanetscaleへの移行を実行したんだ。PingCapも真剣に検討したけど、クラウドの料金体系が複雑すぎると思ってやめた。自分の個人情報が漏洩に含まれているのか気になる。
- arpinum
AWSのプライベートレートではPingCAPは定価の約47%引きになる。どのサービスが最も大きな割引を受けたのか気になる？DB企業らしく、クロスAZトラフィックが請求額の15%を占めているのは驚きではない。