Хакеры выкачали 10,6 ТБ данных PingCAP, включая ключи клиентов TiDB Cloud
PingCap TiDB Leaks
Группа FulcrumSec опубликовала данные масштабной утечки у PingCAP, оператора managed-версии TiDB. За почти два месяца они вынесли 10,6 ТБ: полный control plane с 180 тысячами организаций-арендаторов, 115 тысяч открытых API-ключей, 20 миллионов SQL-запросов клиентов, финансовую отчётность и 413 приватных репозиториев. Отдельно всплыл тикет SECURITY-22 от 2022 года, где собственная служба безопасности PingCAP описывала, как любой участник организации может сбросить root-пароль всех кластеров.
Через четыре года после того, как мы вошли, их собственная служба безопасности задокументировала, что любой участник клиентской организации — включая роль с доступом только к биллингу — мог захватить все кластеры этой организации под root.
- dherls
Если это правда, то это некомпетентность PingCap нового уровня. Похоже, атакующие настроили конвейер репликации на месяц?!
> Мы даже подняли поток репликации их собственной базы данных control-plane, используя учётные данные, закоммиченные в их же репозиториях — ключи сервисных аккаунтов GCP и service principal Azure — и заставили их инфраструктуру доставлять всё нам. Каждые шесть часов, в течение последних двадцати двух дней кампании, с 8 по 30 сентября, этот конвейер исправно реэкспортировал каждую таблицу операционного сердца TiDB Cloud — тенантов, пользователей, API-ключей, учётных данных кластеров, changefeed'ов, миграций — и отправлял нам.
- nemothekid
Блин, я недавно выполнил миграцию с Aurora на Planetscale. Я всерьёз рассматривал PingCap, но отказался, потому что решил, что их облачные цены слишком запутанные. Интересно, есть ли мои личные данные в этой утечке.
- arpinum
Приватные тарифы AWS дают PingCAP скидку около 47% от прайс-листа. Интересно, на какие сервисы пришлись самые большие скидки? Неудивительно, что для компании, занимающейся базами данных, межзональный трафик составляет 15% их счёта.