Introduction
Une vulnérabilité de sécurité a été découverte dans le système Temporal, qui est utilisé par des entreprises comme Netflix, Stripe et Datadog pour assurer l'exécution fiable de leur code. Cette vulnérabilité, connue sous le nom de « masked namespace vulnerability », permet à un attaquant d'accéder à des données sensibles en exploitant une faille dans la manière dont les requêtes sont traitées.
Contexte Technique
La vulnérabilité se trouve dans l'endpoint ExecuteMultiOperation de Temporal, qui permet d'exécuter plusieurs opérations dans une seule transaction. Lorsqu'une requête atteint cet endpoint, Temporal effectue une vérification d'autorisation sur le namespace externe. Cependant, lors du traitement de la requête, le système utilise également les informations de namespace contenues dans la charge utile de la requête, qui peut être différente du namespace externe. Cette discordance entre les deux sources de vérité peut être exploitée par un attaquant pour accéder à des données sensibles.
Analyse et Implications
L'analyse de cette vulnérabilité montre que les attaquants peuvent l'exploiter pour contourner les mécanismes de sécurité de Temporal et accéder à des données sensibles. Les implications de cette vulnérabilité sont graves, car elle peut permettre aux attaquants de violer l'isolement entre les locataires dans un environnement multi-locataire, ou de contourner les politiques de sécurité mises en place par les administrateurs de l'organisation. Deux scénarios d'attaque possibles ont été identifiés : la breach d'isolement entre les locataires et l'attaque « Bring Your Own Policy ».
Perspective
Il est essentiel de surveiller les mises à jour de sécurité de Temporal et de mettre en œuvre les correctifs nécessaires pour protéger contre cette vulnérabilité. Les organisations qui utilisent Temporal doivent être conscientes des risques potentiels et prendre des mesures pour les atténuer, telles que la mise en place de contrôles d'accès robustes et la surveillance des activités suspectes. La communauté de la sécurité doit rester vigilante et continuer à tester et à évaluer les systèmes pour identifier les vulnérabilités potentielles avant qu'elles ne soient exploitées par les attaquants.