ExtraReplica: Microsoft corrige una vulnerabilidad crítica en Azure PostgreSQL

Aunque hablar de vulnerabilidades siempre es algo preocupante, los casos como el de ExtraReplica al menos nos permiten suspirar aliviados al saber que algunas amenazas desaparecen antes de llegar a poner en riesgo la seguridad de los usuarios. Algo para lo que los protocolos de divulgación responsable son imprescindibles, pues ofrecen el margen de maniobra necesario para que las compañías puedan dar una respuesta efectiva a los problemas.

Tal ha sido el caso con ExtraReplica, nombre elegido por los investigadores de Wiz para un conjunto de vulnerabilidades que afectaban a Azure PostgreSQL Flexible Server, el servicio de base de datos PostgreSQL de Microsoft Azure, y que empleadas de manera combinada permitía a un potencial atacante eludir el proceso de autenticación y, de este modo, poder acceder a bases de datos de otros clientes que empleaban el mismo servicio. El potencial atacante no tendría derechos de escritura, pero sí de lectura de las bases de datos afectadas.

Tras detectar la vulnerabilidades y comprobar los resultados de explotarlas de manera combinada, Wiz se puso en contacto con Microsoft e informó a la compañía de este problema y, según podemos leer en la publicación de Microsoft en la que informan sobre ExtraReplica, sus técnicos abordaron rápidamente el problema, empezando por la vulnerabilidad más crítica de las detectadas por Wiz, pues al resolver esta, se acabaría con el riesgo del acceso lateral (el atacante debería tener al menos una base de datos en la misma región de sus víctimas).

Así, el 13 de enero Microsoft pudo completar el despliegue, en todas las geografías, de las correcciones necesarias para impedir que ExtraReplica pudiera llegar a ser explotado. Así, según la compañía, no hay constancia alguna de que esta técnica haya podido ser empleada en el pasado contra algún usuario de Azure PostgreSQL Flexible Server y, aunque la puerta para su uso quedó cerrada a mitades de enero, no ha sido hasta finales de abril que se ha optado por difundir todo lo relacionado con la vulnerabilidad.

De una manera resumida, esta es la explicación que da Microsoft sobre las causas de ExtraReplica:

1. Un problema con la forma en que se manejaron las extensiones en nuestra implementación específica de Postgres pg_admin podría potencialmente permitir que pg_admin se eleve a Superusuario
2. Debido al aislamiento insuficiente de la red entre las instancias de Flexible Server, era posible que un atacante descubriera e intentara conectarse a otras instancias de Flexible Server dentro de la región.
3. Con una expresión regular demasiado permisiva utilizada para asignar nombres comunes de certificados a los usuarios, fue posible omitir la autenticación de certificados utilizada para las conexiones de replicación entre las instancias de Postgres Flexible Server.

La otra buena noticia es, claro, que al tratarse de un servicio, los usuarios no tienen que hacer nada para protegerse, pues las correcciones desplegadas por Microsoft están activas desde hace meses y, por lo tanto, aunque ya se ha difundido por completo tanto la vulnerabilidad como el modo en que podía ser explotada, los usuarios ya están totalmente protegidos frente a la misma.