云安全公司Orca Security在谷歌云构建（Google Cloud Build）服务中发现了一个关键的发潜设计漏洞，该漏洞会让攻击者的谷歌攻击权限升级，使他们可以在未经授权的云构易引应链情况下访问谷歌构件注册表（Google Artifact Registry）代码库。
该漏洞被称为 "Bad.Build"，建漏可使威胁者冒充谷歌云构建管理的洞容的供服务账户，针对构件注册表运行 API 调用，发潜并控制应用程序映像。谷歌攻击
这样，云构易引应链他们就可以注入恶意代码，建漏从而在客户环境中部署恶意软件，洞容的供导致潜在的发潜供应链攻击。
Orca安全研究员Roi Nisimi表示：潜在的威胁可能是多种多样的，所有使用构件注册中心作为主要或次要镜像库的组织都应该警惕。
最直接的影响是破坏依赖于这些镜像的应用程序。这也可能导致 DOS、数据窃取和向用户传播恶意软件。正如我们在 SolarWinds 以及最近的 3CX 和 MOVEit 供应链攻击中所看到的那样，这可能会产生深远的影响。
Orca Security的攻击利用了cloudbuild.builds.create来升级权限，允许攻击者使用artifactregistry权限来篡改谷歌Kubernetes引擎（GKE）的docker镜像，并以root身份在docker容器内运行代码。
在 Orca Security 报告该问题后，谷歌安全团队实施了部分修复措施，撤销了默认云构建服务账户中与构件注册表无关的 logging.privateLogEntries.list 权限。
但是，这一措施并不能直接解决Artifact Registry中的底层漏洞，权限升级和供应链攻击风险依然存在。
因此，企业必须密切关注谷歌云构建服务账户的行为。应用 "最小特权原则"（Principle of Least Privilege）和实施云检测与响应功能来识别异常从而降低风险。
美国东部时间 7 月 18 日谷歌发表了如下声明：
我们创建了漏洞奖励计划，专门用于识别和修复类似的漏洞。我们非常感谢 Orca 和更多的安全社区参与这些计划。我们感谢研究人员所做的工作，并已根据他们的报告在 6 月初发布的安全公告中进行了修复。
参考链接：https://www.bleepingcomputer.com/news/security/google-cloud-build-bug-lets-hackers-launch-supply-chain-attacks/
责任编辑：赵宁宁 来源： FreeBuf.COM 漏洞供应链攻击(责任编辑：热点)
为防范非法行为，保护储户个人账户安全，同时减少金融资源浪费，越来越多的地方性中小银行也加入了清理“睡眠账户”的队伍。在分析人士看来，对于个人用户来说，银行清理“睡眠
...[详细]
开展责任医生签约服务，逐步建立责任医生与居民之间良好的契约服务关系，引导合理有效就医，构建基层首诊、双向转诊、分级诊疗的就医格局，使居民获得连续、综合、便捷、个性化的健康管理服务，是今年浦江县开展的重
...[详细]国家统计局：去年12月份CPI同比上涨4.5% 猪肉价格同比涨幅回落13.2个百分点
1月9日，国家统计局发布了2019年12月份全国CPI(居民消费价格指数)和PPI(工业生产者出厂价格指数)数据。具体数据来看，CPI环比由去年11月份上涨0.4%转为持平，同比上涨4.5%。PPI环
...[详细]证监会强调IPO常态化发行 为市场提供稳定明确预期 不断提升审核效率
1月16日至17日，2020年证监会系统工作会议在京召开。会议指出，以新发展理念为指引，提升服务实体经济质效。科学合理保持IPO常态化发行，推动再融资改革落地。专家认为，这意味着，监管层将继续坚持推进
...[详细]10月份安徽省居民消费价格同比上涨1.7% 涨幅比上月扩大1.0个百分点
国家统计局安徽调查总队发布数据显示，10月份，全省居民消费价格同比上涨1.7%，涨幅比上月扩大1.0个百分点;环比上涨0.6%，涨幅比上月扩大0.3个百分点。成品油价上涨催生液化石油气价格上涨，蔬菜价
...[详细]
一是大力推进企业股份制改造。对签订上市(挂牌)协议并完成股份制改造的企业奖励扶持政策予以前置，对股改发生的相关股权转让税费，按照相关规定将地方留成部分全部奖励给企业。截至目前，该市已完成股改的2家企业
...[详细]2020年1月份工业生产者出厂价格同比上涨0.1% 农副产品类价格持平
2020年1月份，全国工业生产者出厂价格同比上涨0.1%，环比持平;工业生产者购进价格同比下降0.3%，环比上涨0.2%。工业生产者出厂价格中，生产资料价格同比下降0.4%，降幅比上月收窄0.8个百分
...[详细]
记者2日从证监会获悉，证监会对各方建议的开市方案都进行了负责任的论证，充分听取了各方面意见，经综合评估，决定2月3日正常开市。总体来看，这是权衡各种因素的结果，从一个侧面表明了对市场规则的尊重和战胜困
...[详细]
天气转冷，北京租赁市场也正式入冬，市场淡季叠加部分区域疫情反弹因素，11月北京租赁市场呈现加速降温趋势。11月29日，贝壳研究院发布数据显示，11月北京市租赁成交量环比减少超过10%，各城区租赁市场均
...[详细]
2月3日，中国人民银行开展了1.2万亿元公开市场操作，其中7天逆回购操作9000亿元，中标利率2.40%，14天逆回购操作3000亿元，中标利率2.55%。两个期限公开市场操作中标利率均下降了10个基
...[详细]
办理银行卡需要什么资料 2022年银行卡开户新规是什么？
午评：沪指涨0.21% 创业板涨2.05% 北向资金小幅净流入
湖南古丈县启动财政涉农资金试点
扩散周知！火车票预售期将缩短至30天
微粒贷降低利息小技巧 累计个人资产财富有用吗？
