ImageRunner: La vulnerabilidad de escalada de privilegios en Google Cloud Run

Investigadores en ciberseguridad han revelado detalles sobre ImageRunner, una vulnerabilidad de escalada de privilegios en Google Cloud Platform (GCP) Cloud Run que podría haber permitido a atacantes acceder a imágenes de contenedores privadas e inyectar código malicioso.

¿Cómo funcionaba ImageRunner?

La vulnerabilidad permitía que ciertas identidades con permisos de edición en revisiones de Cloud Run abusaran de sus privilegios para extraer imágenes privadas de Google Artifact Registry y Google Container Registry dentro de la misma cuenta.

Según Liv Matan, investigadora de seguridad en Tenable, este fallo ya ha sido corregido por Google a partir del 28 de enero de 2025, tras una divulgación responsable.

¿Qué es Google Cloud Run y por qué era vulnerable?

Google Cloud Run es un servicio sin servidor que ejecuta aplicaciones en contenedores de manera escalable. Para su implementación, las imágenes de los contenedores se extraen de Artifact Registry o Docker Hub.

El problema radicaba en que algunas identidades con permisos de edición en revisiones de Cloud Run podían modificar servicios y forzar la implementación de imágenes privadas, aunque no tuvieran permisos explícitos en el registro de contenedores.

Cada vez que se crea o actualiza un servicio en Cloud Run:

• Se genera una nueva revisión.
• Se utiliza una cuenta de agente de servicio para extraer las imágenes necesarias.

Si un atacante conseguía los permisos run.services.update e iam.serviceAccounts.actAs, podía modificar un servicio y forzar la extracción de imágenes privadas, accediendo a datos sensibles y, potencialmente, inyectando código malicioso para:

• Exfiltrar datos confidenciales.
• Robar secretos almacenados en contenedores.
• Abrir un shell inverso para tomar el control del sistema.

Parche de seguridad y mitigación

Google ha lanzado una actualización que ahora requiere permisos explícitos para acceder a imágenes de contenedores al crear o actualizar servicios de Cloud Run. En su comunicado, la empresa indicó que:

Citar"La entidad principal (cuenta de usuario o servicio) que crea o actualiza un recurso de Cloud Run ahora necesita permiso explícito para acceder a las imágenes de contenedor".

Para garantizar la seguridad, Google recomienda asignar el rol roles/artifactregistry.reader en IAM a cualquier entidad que necesite acceder a imágenes de contenedores.

ImageRunner y los riesgos en servicios en la nube

Tenable describe ImageRunner como un caso de Jenga, un fenómeno donde la interconexión de servicios en la nube puede hacer que vulnerabilidades en un servicio se propaguen a otros.

Citar"Los proveedores de la nube construyen sus servicios sobre otros existentes. Si un servicio es atacado, los demás que dependen de él heredan el riesgo", explicó Matan.

Esto abre nuevas oportunidades para la escalada de privilegios, generando riesgos ocultos que pueden ser explotados por atacantes avanzados.

Relación con vulnerabilidades en Azure

La revelación de ImageRunner ocurre poco después de que Praetorian expusiera diversas formas en que atacantes con privilegios bajos pueden comprometer máquinas virtuales en Azure para escalar privilegios:

• Ejecutar comandos en una máquina virtual con identidad administrada administrativa.
• Iniciar sesión en una máquina virtual con identidad administrada administrativa.
• Adjuntar una identidad administrada administrativa a una máquina virtual existente y ejecutar comandos.
• Crear una nueva máquina virtual, adjuntarle una identidad administrada existente y ejecutar comandos con permisos elevados.

Según los investigadores de seguridad Andrew Chang y Elgin Lee, una vez que un atacante obtiene el rol de propietario de una suscripción de Azure, puede utilizar su acceso para escalar privilegios dentro de Entra ID, comprometiendo aún más la seguridad de la nube.

En conclusión, las vulnerabilidades como ImageRunner resaltan los riesgos de permisos mal configurados en entornos en la nube. Tanto en Google Cloud como en Azure, la seguridad debe enfocarse en:

• Control estricto de permisos IAM.
• Auditoría regular de accesos y configuraciones.
• Uso de roles mínimos necesarios para cada entidad.

Dado el creciente número de ataques en la nube, las organizaciones deben reforzar sus estrategias de seguridad para mitigar riesgos y evitar posibles brechas de datos.

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta