阿里云数据库ApsaraDB RDS for PostgreSQL和AnalyticDB for PostgreSQL曝出一组两个严重漏洞，可用于突破租户隔离保护机制，访问其他客户的敏感数据。

美国云安全公司Wiz发布报告称，“这些漏洞可能允许对阿里云客户的PostgreSQL数据库进行未经授权访问，并对阿里巴巴的这两项数据库服务开展供应链攻击，从而实现对阿里巴巴数据库服务的远程命令执行（RCE）攻击。”

这组漏洞被命名为BrokenSesame，在2022年12月被上报给阿里巴巴，阿里云于2023年4月12日部署了缓解措施。尚无证据表明这些漏洞曾遭到野外利用。

简而言之，此次发现的漏洞分别为AnalyticDB权限提升漏洞和ApsaraDB RDS远程代码执行漏洞，能够在容器内将权限提升为root，逃逸至底层Kubernetes节点，最终实现对API服务器的未授权访问。

利用这条利用链，恶意黑客能够从API服务器中检索到与容器注册表相关的凭证，推送恶意镜像以控制共享节点上属于其他租户的客户数据库。

Wiz公司研究员Ronen SHustin与Shir Tamari表示，“用于拉取镜像的凭证未被正确限定范围且允许推送权限，这为供应链攻击埋下了隐患。”

这已经不是第一次在云服务中发现PostgreSQL漏洞。去年，Wiz公司曾在微软Azure Database for PostgreSQL Flexible Server和IBM Cloud Databases for PostgreSQL中发现过类似的问题。

Palo Alto Networks安全研究团队Unit 42在云威胁报告中表示，“恶意黑客越来越善于利用云上的常见安全问题”，包括错误配置、凭证强度过低、缺乏身份验证、未修复漏洞和恶意开源软件包等。

“76%的组织未能对控制台用户实施多因素身份验证（MFA），58%的组织未能对具有root/admin权限的用户实施多因素身份验证。”

请注意：本文发布的漏洞情况已得到修复或缓解。