欢迎大家围观小阑精心整理的API安全最新资讯，在这里你能看到最专业、最前沿的API安全技术和产业资讯，我们提供关于全球API安全资讯与信息安全深度观察。
本周，我们带来的分享如下：
-
关于IBM云平台中的供应链漏洞
-
Algolia门户中的硬编码API密钥漏洞
-
JSON-based SQL attack on WAFs 漏洞
-
为什么对影子API的攻击逐渐增加
关于IBM云中的供应链漏洞
Wiz Research在PostgreSQL的IBM云数据库中发现了Hell’s Keychain，这是首个云服务提供商供应链漏洞。该漏洞由三个公开的 chain of secrets 组成，这些 chain of secrets 可以与隔离性差的网络相结合，执行对底层PostgreSQL数据库的访问。
三个暴露的 chain of secrets 是：
• Kubernetes服务帐户令牌：研究人员对PostgreSQL数据库使用SQL注入攻击来访问主机上的命令shell，他们发现能够从那里检查环境并发现Kubernetes令牌，并允许访问Kubernetes集群。
• 容器注册表密码：研究人员随后发现了一个包含私有容器注册表的各种访问凭据的秘密文件。虽然不是此漏洞的核心，可能是流氓或恶意图像，但此缺陷可能使攻击者能够访问和修改私有容器注册表。
• CI/CD服务器凭据：研究人员随后发现，他们可以扫描容器映像以获取包含CI/CD系统的根凭据的秘密，其中还包括FTP凭据和内部工件存储库凭据。
为了利用这些获得的凭据，研究人员试图访问内部资源，意外发现由于网络设计不当，特别是不隔离子网，这个内部网络可以从PostgreSQL主机访问。
研究人员就如何预防此类漏洞提出了以下建议：
• 对环境的秘密进行持续监控——请务必扫描代码和容器存储库、CI/CD管道、文档和脚本文件。
• 使用提供的网络控件来隔离你的生产环境——尽管可以访问所有凭据，但使用精心设计的网络分割可能会阻止此漏洞。
• 锁定容器注册表—限制对容器注册表的访问，以防止容器损坏。
Algolia门户中的硬编码API密钥漏洞
近期，CloudSEK的研究人员发现，超过1550个应用程序泄露了Algolia API密钥，其中32个具有硬编码密钥，可以允许攻击者窃取或删除数百万用户的数据。这种类型的泄露非常严重，它允许攻击者完全访问租户，包括读取私人用户信息以及使用和搜索历史记录的能力。
研究人员就处理泄露的API凭据提出了以下建议：
• 确保尽快撤销凭证。
• 客户端的设计和实现要考虑到安全性——API凭据高度敏感，应安全存储。
• 在与敏感API通信时，请使用代理模式来防止直接访问敏感API，相反，允许暴露的API代表你进行此通信，以防止高灵敏度凭据的泄露。
JSON-based SQL attack on WAFs 漏洞
本质上，bypass 的工作原理如下：WAF可以通过在传入的有效负载中进行简单的模式匹配来防止SQL注入。研究人员发现，他可以利用大多数SQL引擎对JSON的内置支持来绕过WAF。这凸显了负面安全模型的危险和使用阻止列表的问题。
研究人员发现，虽然大多数SQL数据库提供商（PostgreSQL、MySQL、SQLite和MS-SQL）十多年来一直支持查询中的嵌入式JSON，但大多数流行的WAF不会在查询中解析JSON有效负载。研究人员对Palo Alto Networks、Amazon Web Services、Cloudflare、F5和Imperva进行了测试，发现虽然它们在原始查询中地SQL Injection进行了充分防御，但对包装在JSON对象中时却对它视而不见。所有五家供应商都已收到通知，并据报道已发布更新，以解决已发现的问题。
这份报告说明了两个重要的考虑因素：
• 安全工具在解决新功能启用的新攻击载体方面将始终处于倒退状态。
• 消极安全模型总是缺乏准确性，容易导致错过攻击。在可能的情况下，考虑使用正安全模型来对照精确的允许列表工作。
为什么对影子API的攻击逐渐增加
随着API数量的持续增加，影子API的主题是安全团队越来越担心的问题。由于创建和部署API相对容易，产品开发人员选择在标准、受管理的流程之外发布API，这些影子API的数量有所增加。目前攻击者已经意识到这一事实，并将精力集中在这些API上，这些API的设计、保护和监控可能不那么严格。
Shadow API（应用程序编程接口）现在是当今API安全面临的最大威胁。研究人员对2022年上半年200多亿笔交易的分析发现，其中167亿笔交易是恶意的，大多数（50亿）反对未知、无管理和不受保护的API，通常称为影子API。这凸显了负面安全模型的危险和使用阻止列表的问题。
建议是API治理（防止新的影子API）和API发现（识别现有的影子API）的组合策略。
感谢 APIsecurity.io 提供相关内容
关于星阑
星阑科技基于AI深度感知和强大的自适应机器学习技术，帮助用户迅速发现并解决面临的安全风险和外部威胁，并凭借持续的创新理念和以实战攻防为核心的安全能力，发展成为国内人工智能、信息安全领域的双料科技公司。为解决API安全问题，公司从攻防能力、大数据分析能力及云原生技术体系出发，提供全景化API识别、API高级威胁检测、复杂行为分析等能力，构建API Runtime Protection体系。
星阑科技产品——萤火 (API Intelligence) 拥有不同应用场景的解决方案，适配服务器、容器集群、微服务架构以及云平台等多种架构。通过API资产梳理、漏洞管理、威胁监测、开放式数据平台、运营与响应能力，解决企业API漏洞入侵、行为异常、数据泄露等核心风险。
往期 · 推荐
原文始发于微信公众号（星阑科技）：API NEWS | 关于IBM云中的供应链漏洞
