Investigadores de seguridad en FulcrumSec han revelado públicamente una brecha significativa en TiDB Cloud de PingCAP, una plataforma de base de datos distribuida gestionada. Según la revelación, los atacantes exfiltraron con éxito aproximadamente 10.6 TB de datos, que comprenden casi 5 millones de archivos. Se informa que la brecha incluyó el plano de control completo de TiDB Cloud, los entornos de facturación y finanzas, el código fuente y un historial de cuatro años de cada conexión realizada por los clientes al producto, incluyendo las direcciones IP de los servidores de aplicaciones.
Esta imagen identifica la plataforma TiDB Cloud de PingCAP mencionada en el informe de la brecha.
Los investigadores afirman que la exfiltración fue facilitada por la falta de visibilidad en la infraestructura en la nube de PingCAP. Afirman que establecieron un flujo de replicación de la base de datos del plano de control de producción utilizando credenciales —específicamente claves de cuentas de servicio de GCP y un principal de servicio de Azure— que fueron registradas en los propios repositorios de PingCAP. Se alega que este flujo reexportó cada tabla del corazón operativo de TiDB Cloud cada seis horas durante veintidós días sin ser detectado. Los datos robados incluyen 115,308 claves API de clientes en texto plano (de las cuales 42,612 estaban activas), 20.6 millones de sentencias SQL sin procesar que contienen la lógica de negocio de los clientes y registros de 180,046 organizaciones de inquilinos.
Más allá de la infraestructura técnica, la filtración supuestamente expuso datos comerciales e de identidad sensibles. Esto incluye registros de HubSpot y Stripe para miles de inquilinos que pagan, libros de ingresos de NetSuite y un 'mapa de objetivos' de registros de acceso de puerta de enlace. Los investigadores también destacaron un fallo de seguridad crítico documentado por el propio equipo de PingCAP en 2022: una vulnerabilidad donde cualquier miembro de una organización de clientes, incluidos aquellos con roles solo de facturación, podía restablecer incondicionalmente la contraseña de raíz de todos los clústeres en esa organización. Este fallo, que los investigadores afirman se conocía cuatro años antes de la brecha, permitió potencialmente la toma de control total de las cuentas de los clústeres de los clientes. Además, la revelación incluyó evidencia de negligencia interna, como ingenieros de soporte que pegaban credenciales de producción en tickets de Jira y adjuntaban registros que contenían información sensible de clientes, como claves raíz de AWS y tokens de acceso personal de GitHub.
Si bien el sitio web oficial de PingCAP destaca su uso por parte de grandes empresas como Atlassian, Pinterest y Rakuten, el informe de FulcrumSec identifica específicamente a varias de estas entidades como inquilinos afectados. La revelación también incluyó un 'grafo de inteligencia de desarrolladores' adquirido por PingCAP, que vinculaba IDs de usuario cifrados con correos electrónicos personales y perfiles de LinkedIn de ingenieros en grandes firmas tecnológicas como Tencent, Huawei y ByteDance. La brecha subraya riesgos significativos en entornos de nube multiinquilino, particularmente en lo que respecta al manejo de secretos en sistemas de tickets internos y la persistencia de vulnerabilidades de seguridad conocidas en entornos de producción.
Sigue sin estar claro cuántas de las credenciales exfiltradas siguen activas o si los clientes específicos identificados en la filtración han rotado con éxito sus claves. Los investigadores han declarado que se publicarán más datos de la exfiltración total de 10.6 TB en etapas posteriores.
Evidencia: - La brecha involucró la exfiltración de 10.6 TB de datos, incluyendo 115,308 claves API de clientes en texto plano y 20.6 millones de sentencias SQL sin procesar (principal). - Los atacantes utilizaron credenciales (claves de cuentas de servicio de GCP y principales de servicio de Azure) encontradas en los propios repositorios de PingCAP para configurar un flujo de replicación (principal). - Un ticket de seguridad interno de 2022 (SECURITY-22) documentó que cualquier miembro de la organización podía restablecer incondicionalmente la contraseña de raíz de todos los clústeres (principal). - Se descubrió que los ingenieros de soporte pegaron credenciales de producción y registros sensibles en tickets de Jira (principal). - La filtración incluyó un 'mapa de objetivos' de registros de acceso de puerta de enlace que mostraba los volúmenes de conexión de los clientes y las direcciones IP de los servidores de aplicaciones (principal).