bunny.net-ը մանրամասնում է ենթակառուցվածքի մատակարարի անվտանգության միջադեպի վերաբերյալ արձագանքը

bunny.net-ը բացահայտել է անվտանգության միջադեպ՝ կապված իր ենթակառուցվածքի մատակարարներից մեկի հետ, որի երրորդ կողմի սերվերի կառավարման ծրագրային ապահովումը, ըստ հաղորդման, ենթարկվել է չարտոնված մուտքի։ bunny.net-ի մեկ CDN հանգույց Հայաստանում տեղակայված էր այդ մատակարարի տրամադրած սերվերում։ Ընկերությունը հայտնել է, որ 20 րոպեի ընթացքում դադարեցրել է երթևեկությունը դեպի այդ սերվեր և հեռացրել այն իր ենթակառուցվածքից։

Միջադեպ և արձագանք

Անցած շաբաթ մատակարարը հաղորդել է երրորդ կողմի սերվերի կառավարման ծրագրային ապահովման հետ կապված չարտոնված մուտքի մասին։ Զգուշացումը ստանալուց հետո bunny.net-ի ճարտարագիտական թիմը 20 րոպեի ընթացքում դադարեցրել է երթևեկությունը տուժած սերվերով։ Այնուհետև թիմը վերանայել և պահպանել է համապատասխան անվտանգության մատյանները, անվտանգ կերպով մաքրել է սերվերը և չեղարկել դրա մուտքը այլ համակարգեր։ Սերվերը ընդմիշտ հեռացվել է bunny.net-ի ենթակառուցվածքից։ bunny.net-ը հայտնել է, որ իր հետաքննությունը չի գտել ապացույցներ CDN հանգույցին կամ դրա տվյալներին չարտոնված մուտքի մասին, իսկ մատակարարը նույնպես ապացույցներ չի գտել, որ սերվերին մուտք է գործվել, թեև հետաքննությունը շարունակվում է։

Հնարավոր ազդեցություն

Եթե CDN հանգույցին չարտոնված մուտք տեղի ունենար, հնարավոր էր բացահայտվեին այդ սերվերում պահվող ժամանակավոր քեշավորված CDN բովանդակությունը, Pull Zone կոնֆիգուրացիաները և TLS վկայականները։ bunny.net-ը հայտնել է, որ սերվերում այլ հաճախորդային տվյալներ, այդ թվում՝ հաշվի տվյալներ, չեն պահվել, և ներքին համակարգերը չեն տուժել։ Որպես նախազգուշական քայլ՝ ընկերությունը չեղարկել և վերաթողարկել է իր պլատֆորմային տիրույթների՝ b-cdn.net և bunny.run, բոլոր TLS վկայականները։ Կառավարվող TLS վկայականների վերաթողարկումը շարունակվում է և, ըստ հոկտեմբերի 29-ի թարմացման, սպասվում է, որ կավարտվի հոկտեմբերի 31-ի վերջում։ Գոյություն ունեցող վկայականները շարունակում են մատուցվել մինչև փոխարինվելը, և կառավարվող վկայականներ օգտագործող հաճախորդներից որևէ գործողություն չի պահանջվում։ Իրենց TLS վկայականները կառավարող հաճախորդներին խորհուրդ է տրվում դրանք չեղարկել և վերաթողարկել նոր մասնավոր բանալիներով՝ որպես նախազգուշական քայլ։

Հաջորդ քայլեր

bunny.net-ը հայտնել է, որ հետաքննության շարունակվելու ընթացքում ուշադիր հետևում է իր ենթակառուցվածքին և աշխատում է տուժած մատակարարի հետ։ Ընկերությունը հայտնել է, որ եթե նոր բացահայտումները ազդեն հաճախորդների վրա, կտրամադրի թարմացումներ էլեկտրոնային փոստով և իր կարգավիճակի էջում։ Հարցեր ունեցող կամ TLS վկայականների կառավարման օգնության կարիք ունեցող հաճախորդները կարող են կապվել bunny.net-ի աջակցության հետ։

Աղբյուրներ՝ status.bunny.net