PingCAP TiDB 泄露
FulcrumSec 公开了针对 PingCAP TiDB Cloud 的入侵数据，声称窃取 10.6 TB 资料，其中包括 TiDB Cloud 控制面数据库、计费系统、Jira、CRM、413 个私有代码仓库以及客户连接日志，并已发布首批 200 GB 文件包。 攻击者称，在约两个月内通过泄露在代码仓库中的 GCP 服务账号密钥和 Azure 服务主体，持续每六小时自动导出控制面数据，共 88 次，PingCAP 未触发任何检测。 泄露文件显示，PingCAP 的共享加密库 pkgv2 使用 AES-CBC，初始化向量固定为密钥前缀，且所有租户共用一个全局 SaltSecret；这意味着只要拿到该配置密钥，所有加密的客户数据库密码即可还原为明文。 此外，PingCAP 支持团队曾把客户生产环境的 AWS 密钥、数据库连接串等凭据粘贴进 Jira 工单，其中部分凭据在泄露发生前仍处于激活状态。 PingCAP 安全团队早在 2022 年 8 月的内部工单 SECURITY-22 中已记录多租户隔离缺陷：组织内任意角色（包括仅计费权限）可无条件重置集群 root 密码并获取 root 访问，该缺陷在此后约四年间未修复。
评论
点赞
收藏