PingCAP, TiDB Cloud 고객 데이터 10.6TB 유출… 88회 내보내는 동안 탐지조차 못 했다
PingCap TiDB Leaks
PingCAP의 TiDB Cloud 프로덕션 제어 평면이 약 두 달간 무단 유출됐다. 10.6TB, 490만 파일 규모로, 고객 18만 조직의 API 키 11만5천 개(4만2천 개 활성), SQL 2천만 건, 게이트웨이 연결 1억 건, Jira 37만 건, CRM 43만 건, 소스 저장소 413개가 포함됐다. 공격자는 PingCAP 저장소에 커밋된 GCP 서비스 계정 키와 Azure 서비스 주체를 이용해 6시간마다 제어 평면 DB를 복제해 내보냈고, 22일간 88회 연속 내보내는 동안 단 한 번도 탐지되지 않았다. 2022년 Jira 티켓에는 모든 조직 구성원이 클러스터 root 비밀번호를 재설정할 수 있다는 취약점이 이미 기록돼 있었다.
2022년 8월, 그들 보안팀은 고객 조직의 청구 담당자조차 해당 조직의 모든 클러스터를 root로 장악할 수 있다고 문서화했다. 우리가 침투하기 4년 전의 일이다. 유출은 2026년 9월까지 이어졌다. 데이터베이스 회사에서.
HN 토론
14- dherls
사실이라면, 이건 PingCap의 차원이 다른 무능력이다. 공격자들이 한 달 동안 복제 파이프라인을 설정해 놓았다고?!
> 우리는 심지어 그들의 저장소에 커밋된 자격 증명 — GCP 서비스 계정 키와 Azure 서비스 주체 — 을 사용해 그들 자신의 컨트롤 플레인 데이터베이스의 복제 피드를 구축했고, 그들의 인프라가 그것을 우리에게 전달하도록 했다. 6시간마다, 캠페인의 마지막 22일 동안, 9월 8일부터 9월 30일까지, 그 파이프라인은 TiDB Cloud 운영 핵심의 모든 테이블 — 테넌트, 사용자, API 키, 클러스터 자격 증명, 체인지피드, 마이그레이션 — 을 충실히 재내보내기 했고, 그것을 밖으로 밀어냈다.
- nemothekid
이런, 나는 최근에 Aurora에서 Planetscale로 마이그레이션을 실행했어. PingCap을 진지하게 고려했지만 클라우드 가격이 너무 복잡하다고 생각해서 결정을 철회했지. 내 개인 정보가 유출된 것에 포함되어 있는지 궁금하네.
- arpinum
AWS 프라이빗 요금은 PingCAP에 정가 대비 약 47% 할인을 제공한다. 어떤 서비스가 가장 큰 할인을 받았는지 궁금하네? 놀랍지 않게도 DB 회사답게 교차 AZ 트래픽이 청구서의 15%를 차지한다.