Работа над ошибками: отчет IT-отдела команды Навального
21 июля хабра-пользователь grumpysugar опубликовал статью о найденной им уязвимости в инфраструктуре нашей команды. Уязвимость действительно существовала, и мы ее устранили. Но если вы видите информацию о новых утечках из нашей базы данных, знайте, что это обычный вброс, не имеющий ничего общего с реальностью. В этом посте мы объясняем, почему.
Сразу хотим отметить, что пользователь заблаговременно с нами связался через саппорт месяц назад. Мы эскалировали проблему, устранили ее в первые же минуты после обнаружения и отправили пользователю ответным письмом благодарность и отчет о произошедшем.
Во время работ по инфраструктуре была допущена ошибка, и дашборд Kubernetes WebView, который наша команда разработки использует для отладки приложений, стал доступен по одному из наших известных почтовых доменов (на самом деле все домены, которые ресолвились в этот IP-адрес, но не имели своего сервиса, попадали на Kubernetes WebView, потому что он стал default backend).
Ошибка была допущена буквально в одной строчке yaml-конфига. В настройках явно не объявлено поле host, которое ограничило бы, на каком хостнейме работает сервис. В связи с этим сервис оказался доступным на хосте, который явно был не перечислен в других сервисах.
rules:
- host: #
Похожие новости
- Мультирегиональный поиск. Техническая сторона продвижения федеральных сетей клиник
- 10 из 10: в firewall PAN-OS от Palo Alto Networks найдена критическая 0-day-уязвимость. Что происходит?
- Обзор инструмента DefectDojo: почему его выбирают?
- USB Rubber Ducky своими руками. По-настоящему
- Как распознать мошенническое письмо. Памятка безопаснику для обучения пользователей основам ИБ
- [Перевод] Настройка сервиса аутентификации OpenAM и шлюза авторизации OpenIG для защиты приложений
- Интранет: как повысить эффективность целой компании с помощью одного инструмента
- Жажда скорости. Сравниваем работу Hashcat на ВМ, ПК и ноутбуках с разными CPU и GPU
- Brand Analytics запустила BrandGPT — ИИ-ассистента аналитика соцмедиа и СМИ
- Digital Rosatom: Росатом выступил инициатором создания комплексного цифрового решения для строительства сложных индустриальных объектов