インターネットに露出したetcd、ただのHTTPアクセスで膨大なデータを露呈

「etcdの、セキュリティ自爆スイッチ」

CoreOSの分散KVS、etcdは、後方互換性のために管理機能の認証がデフォルト無効です。しかもRESTful APIで利用できます。

この結果、デフォルト設定のetcdがインターネットに露出していると、中のデータは外から丸見えになってしまいます。etcdは公式トップで「分散システムの最重要データのための」と書いてあるわけで、実際冒頭の記事の筆者がShodan検索したところ、2284のetcdデータベースが見つかり、中にはCMSやRDBの認証情報が多数見つかりました。

しかも、これらのデータ収集は1行のHTTP GETでできてしまいます。筆者は750MBのデータをスクリプトで収集したそうです(もちろん、それを使ったアクセスはしてないとのこと)。

さらに、このAPIは書き換えも可能なため、様々な悪意ある攻撃が可能です。

運用中なら、etcdがネットに露出してないか確認しましょう。していたら即封じて、システム全体について、侵入の有無についての(できれば専門家の)調査がされるといいですね。