FulcrumSecのセキュリティ研究者は、マネージド分散型データベースプラットフォームであるPingCAPのTiDB Cloudにおける重大な侵害を公表しました。公開内容によると、攻撃者は約10.6 TBのデータ（約500万ファイル）の持ち出しに成功したとのことです。この侵害には、TiDB Cloudのコントロールプレーン全体、請求および財務資産、ソースコード、そしてアプリケーションサーバーのIPアドレスを含む、顧客が製品に接続した全履歴の4年分が含まれていたと報告されています。
この画像は、侵害報告で言及されているPingCAP TiDB Cloudプラットフォームを特定するものです。
研究者らは、PingCAPのクラウドインフラに対する可視性の欠如がこのデータ流出を容易にしたと主張しています。彼らは、PingCAP自身のリポジトリにコミットされていた認証情報（具体的にはGCPのサービスアカウントキーとAzureのサービスプリンシパル）を使用して、本番用コントロールプレーンデータベースのレプリケーションフィードを確立したと述べています。このパイプラインは、検知されることなく、22日間にわたり6時間ごとにTiDB Cloudの運用の中核となるすべてのテーブルを再エクスポートしたとされています。盗まれたデータには、115,308件のプレーンテキストの顧客APIキー（うち42,612件がアクティブ）、顧客のビジネスロジックを含む2,060万件の生のSQLステートメント、および180,046件のテナント組織の記録が含まれています。
技術的なインフラを超えて、この流出は機密性の高い商業データやアイデンティティデータも露呈させたとのことです。これには、数千の有料テナントのHubSpotおよびStripeの記録、NetSuiteの収益台帳、およびゲートウェイアクセスログの「ターゲットマップ」が含まれます。研究者らはまた、PingCAPのチーム自身によって2022年に文書化された重大なセキュリティ上の欠陥も強調しました。それは、請求のみの役割を持つ者を含む顧客組織のメンバーであれば、その組織内のすべてのクラスターのルートパスワードを無条件にリセットできるという脆弱性です。研究者らは、この欠陥は侵害の4年も前に知られていたと主張しており、顧客クラスターの完全なアカウント乗っ取りを可能にした可能性があります。さらに、公開内容には、サポートエンジニアがJiraチケットに本番用認証情報を貼り付けたり、AWSルートキーやGitHub個人アクセストークンなどの機密性の高い顧客情報を含むログを添付したりといった内部の過失の証拠も含まれていました。
PingCAPの公式サイトでは、Atlassian、Pinterest、Rakutenなどの大手企業による利用を強調していますが、FulcrumSecのレポートでは、これらの企業のいくつかが影響を受けたテナントの中に含まれていることを具体的に特定しています。また、公開内容には、PingCAPが購入した「開発者インテリジェンスグラフ」も含まれており、これはハッシュ化されたユーザーIDを、Tencent、Huawei、ByteDanceなどの大手テック企業のエンジニアの個人メールやLinkedInプロフィールに関連付けるものでした。この侵害は、マルチテナントクラウド環境における重大なリスク、特に内部チケットシステムにおける秘密情報の取り扱いや、本番環境における既知のセキュリティ脆弱性の放置を浮き彫りにしています。
流出した認証情報のうち、どれだけが現在もアクティブであるか、あるいは流出で特定された特定の顧客が鍵のローテーションを正常に完了したかについては、依然として不明です。研究者らは、10.6 TBの総流出データのうち、さらなるデータが後続の段階で公開されると述べています。
証拠： - 侵害には、115,308件のプレーンテキストの顧客APIキーと2,060万件の生のSQLステートメントを含む10.6 TBのデータの流出が含まれていた（主要）。 - 攻撃者は、PingCAP自身のリポジトリ内で見つかった認証情報（GCPサービスアカウントキーおよびAzureサービスプリンシパル）を利用してレプリケーションフィードを構築した（主要）。 - 2022年の内部セキュリティチケット（SECURITY-22）には、組織のメンバーであればすべてのクラスターのルートパスワードを無条件にリセットできることが文書化されていた（主要）。 - サポートエンジニアがJiraチケットに本番用認証情報や機密性の高いログを貼り付けていたことが判明した（主要）。 - 流出には、顧客の接続量やアプリサーバーのIPアドレスを示すゲートウェイアクセスログの「ターゲットマップ」が含まれていた（主要）。