Chainstack раскрыла причину взлома: стандартный пароль Grafana открыл доступ к данным клиентов

Провайдер облачной Web3-инфраструктуры Chainstack раскрыл технические детали октябрьского взлома. Компания пришла к выводу, что причиной инцидента стали не уязвимости в программном обеспечении, а ошибки настройки доступа: злоумышленник проник в систему через Grafana со стандартным паролем администратора, который так и не был изменён.

Как были нарушены границы доступа

По обновлённому отчёту Chainstack, атака произошла в октябре. Точкой входа послужил дев-экземпляр Grafana с неизменёнными учётными данными администратора по умолчанию. Дальше в цепочку доступа попал инструментальный сервер без аутентификации с широкими правами в Kubernetes, а машинные учётные данные связали среду разработки с продакшеном.

Ключевой вывод компании: опасен не только первый вход, но и радиус действия учётной записи после него. Даже незначительный тестовый сервис становится проблемой, если он может обращаться к чувствительным системам или обладает привилегиями, выходящими за рамки его непосредственной задачи.

Какие данные могли быть затронуты

В отчёте перечислены типы информации, которая могла попасть к злоумышленнику:

• имена учётных записей и сведения об организациях;
• адреса электронной почты;
• хеши паролей;
• учётные данные узлов (node credentials) — их признали скомпрометированными, даже несмотря на отсутствие доказательств чтения.

Компания подчёркивает разницу между хешем пароля и рабочим токеном доступа: хеш — это лишь представление пароля, а активный токен может напрямую авторизовать запросы. Поэтому замена пароля не гарантирует отзыв всех остальных учётных данных, связанных с приложением.

Что требуется от клиентов

Chainstack просит пользователей сменить пароли, выполнить ротацию учётных данных узлов и перегенерировать API-ключи платформы там, где они используются. В документации компании описан поэтапный процесс ротации: новые учётные данные генерируются, пока старые ещё активны, приложения переводятся на замену, и только затем прежние данные отключаются. Важно довести ротацию до конца — просто сгенерировать замену недостаточно, так как старый способ доступа продолжит работать.

Источники: newsbtc.com, chainstack.com