Pesquisadores de cibersegurança estão alertando sobre segredos de configuração do Kubernetes expostos publicamente, que podem colocar organizações em risco de ataques à cadeia de suprimentos.

Yakir Kadkoda e Assaf Morag, descobriram que segredos codificados de configuração do Kubernetes foram carregados em repositórios públicos.

A pesquisa utilizou a API do GitHub para identificar entradas contendo tipos .dockerconfigjson e .dockercfg, que armazenam credenciais para acessar um registro de imagem de contêiner. Entre os afetados estão duas principais empresas de blockchain e várias outras empresas da Fortune 500.

Dos 438 registros que potencialmente continham credenciais válidas para registros, 203, cerca de 46% continham credenciais válidas que forneciam acesso aos respectivos registros. Noventa e três das senhas foram definidas manualmente por indivíduos, em oposição às 345 geradas por computador. Quase 50% das 93 senhas foram consideradas fracas, incluindo “password”, “test123456”, “windows12”, “ChangeMe” e “dockerhub”.

Noventa e três das senhas foram definidas manualmente por indivíduos, em oposição às 345 geradas por computador. Quase 50% das 93 senhas foram consideradas fracas, incluindo “password”, “test123456”, “windows12”, “ChangeMe” e “dockerhub”.

De acordo com o Relatório de Segurança do Kubernetes da Red Hat, lançado no início deste ano, vulnerabilidades e configurações incorretas surgiram como principais preocupações de segurança em ambientes de contêiner, com 37% dos 600 entrevistados identificando perda de receita/clientes como resultado de um incidente de segurança de contêiner e Kubernetes.