SAPwned: уязвимости SAP AI раскрывают облачные среды клиентов и частные ИИ артефакты

Исследование под кодовым названием «SAPwned» выявило серьезные уязвимости в системе SAP AI Core, которые позволяли злоумышленникам получить доступ к облачным средам клиентов и их конфиденциальным данным.

Основной причиной выявленных проблем стала возможность выполнения вредоносных ИИ моделей и процедур обучения, которые по своей сути являются кодом. Несмотря на защитные меры, два конфигурационных параметра, пропущенные контроллером допуска SAP, позволили злоумышленникам получить доступ к токену кластера Istiod, а также обойти сетевые ограничения.

Злоумышленники смогли запросить и получить конфигурацию Loki через путь /config, что привело к утечке секретов AWS, необходимых для доступа к системе. Дополнительно, через экземпляры AWS Elastic File System (EFS) были раскрыты большие объемы данных AI, включая код и обучающие наборы данных, отсортированные по идентификатору клиента.

Внутренние системы Docker Registry и Artifactory также подверглись компрометации через неаутентифицированный сервер Helm. Это дало возможность злоумышленникам просматривать внутренние сборки и образы, что могло привести к утечке данных клиентов и коммерческих секретов. Также возникла угроза атак на цепочку поставок SAP AI Core, так как злоумышленники могли изменить сборки и образы, используя предоставленный доступ на запись.

Кроме того, неавторизованный сервер Helm выявил токены доступа Google и конфиденциальную информацию клиентов, что еще больше увеличило риск компрометации системы. Ключ доступа SAP предоставил дополнительные возможности для атак, расширяя доступ на чтение и запись.

SAP признала существование уязвимостей и заявила, что все они были устранены командой безопасности компании. Компания заверила, что компрометации информации клиентов не произошло. Влияние атаки могло быть уменьшено за счет усиления внутренних сервисов, что снизило бы серьезность инцидента с полного захвата сервиса до незначительных проблем безопасности.

В будущем необходимо обеспечить наличие надежных барьеров для предотвращения выполнения недоверенного кода в одной среде с другими клиентами и внутренними ресурсами.