Celah Keamanan CloudImposer di Google Cloud Ancam Jutaan Server

pibitek.biz -Google Cloud Platform (GCP), platform cloud yang diandalkan oleh jutaan pengguna di seluruh dunia, terancam oleh sebuah lubang keamanan yang serius. Celah keamanan ini, yang diberi nama "CloudImposer" oleh tim peneliti dari Tenable, memungkinkan penyerang untuk melakukan serangan supply chain yang berbahaya dan dapat memengaruhi jutaan server secara bersamaan. Permasalahan ini terletak pada sebuah layanan yang disebut Google Cloud Composer, yang digunakan untuk mengelola alur kerja software (software pipeline).

Celah keamanan yang ditemukan di Cloud Composer ternyata juga berdampak pada layanan lain seperti App Engine dan Cloud Function. Celah keamanan yang ditemukan ini disebut "dependency confusion", sebuah teknik yang memungkinkan penyerang untuk mengelabui pengguna dengan menggantikan paket kode yang asli dengan paket kode jahat. Penyerang menciptakan paket kode jahat dengan nama yang sama dengan paket kode asli dan mengunggahnya ke repositori publik. Ketika developer, tanpa sengaja, menarik paket kode jahat ini dari repositori publik, mereka tidak menyadari bahwa mereka telah mengunduh kode yang berbahaya.

Dengan demikian, penyerang mendapatkan akses ke sistem dan dapat menjalankan berbagai serangan berbahaya. Dalam kasus CloudImposer, serangan supply chain yang dilakukan melalui celah ini dapat berdampak jauh lebih besar daripada serangan yang terjadi di sistem on-premises. Kemampuan penyerang untuk mengendalikan jutaan server sekaligus melalui satu paket kode jahat yang disusupkan ke dalam sistem cloud adalah ancaman yang sangat nyata. Penemuan celah keamanan ini bermula dari analisis tim Tenable terhadap dokumentasi Google tentang GCP dan Python Software Foundation.

Dari dokumentasi tersebut, mereka menemukan petunjuk tentang kemungkinan terjadinya "dependency confusion" di layanan cloud. Tim peneliti yang gigih itu tidak berhenti sampai di situ. Mereka melanjutkan penelitian mereka dan menemukan bahwa Google sendiri telah memberikan saran yang berisiko terkait dengan cara untuk menghindari "dependency confusion" di GCP. Saran Google ini terkait dengan pengguna yang ingin menggunakan paket Python pribadi di GCP. Google merekomendasikan agar pengguna menggunakan argument "–extra-index-url" untuk menelusuri registry publik (PyPI) dan registry pribadi yang dipilih pengguna secara bersamaan.

Sayangnya, cara ini justru membuka celah bagi penyerang untuk menjalankan serangan "dependency confusion". Saran Google yang berisiko ini menyebabkan banyak customer GCP mengambil langkah yang salah dalam mengamankan sistem mereka. Yang lebih mengejutkan, Google sendiri ternyata telah menerapkan saran mereka sendiri untuk menginstal paket kode pribadi di layanan internal mereka. Tim peneliti Tenable menemukan bahwa Google menggunakan argument "–extra-index-url" untuk menginstal paket kode pribadi yang tidak tersedia di registry publik.

Langkah ini, sayangnya, membuka pintu bagi penyerang untuk mengunggah paket kode jahat ke registry publik dan mengambil alih pipeline Google. Setelah menemukan celah keamanan ini, Tenable segera melapor ke Google. Google dengan cepat menanggapi laporan tersebut dan melakukan investigasi. Google menyatakan bahwa mereka belum menemukan bukti bahwa CloudImposer pernah digunakan untuk melakukan serangan. Google juga mengakui bahwa kode yang dikembangkan oleh Tenable untuk mendeteksi celah keamanan di server internal Google tidak dapat dijalankan di server customer.

Hal ini karena kode tersebut tidak lolos uji integrasi yang dilakukan oleh Google. Sebagai upaya untuk mengatasi celah keamanan ini, Google melakukan beberapa tindakan. Pertama, Google melakukan perbaikan pada dokumentasi mereka dan merekomendasikan agar customer GCP menggunakan argument "–index-url" sebagai ganti "–extra-index-url". Selain itu, Google juga menyarankan agar customer menggunakan GCP Artifact Registry's virtual repository untuk mengontrol urutan pencarian Python package manager. Cara ini akan lebih aman dan efektif dalam mencegah serangan "dependency confusion".

Namun, tindakan Google ini saja belum cukup. Customer GCP diharapkan untuk melakukan pengecekan lebih lanjut pada lingkungan mereka untuk mencegah serangan supply chain. Penting bagi customer GCP untuk memeriksa apakah mereka menggunakan argument "–extra-index-url" di Python. Jika ya, maka mereka harus segera melakukan langkah-langkah yang diperlukan untuk mengatasi celah keamanan ini. Tim Tenable mengingatkan bahwa keamanan cloud merupakan tanggung jawab bersama. Baik cloud provider maupun customer harus bekerja sama untuk memastikan keamanan sistem cloud mereka.

Dengan mengikuti pedoman keamanan dan melakukan langkah-langkah pencegahan yang tepat, serangan supply chain seperti CloudImposer dapat dihindari. Customer GCP harus memperhatikan saran yang diberikan oleh Google dan melakukan pengecekan menyeluruh pada sistem mereka. Serangan supply chain merupakan ancaman serius yang dapat berdampak besar pada keamanan data dan sistem. Dengan meningkatkan keamanan cloud dan bekerja sama untuk mencegah serangan, kita dapat melindungi sistem cloud dari ancaman yang semakin canggih.