PingCap TiDB نشت می کند

PingCAP Inc. / TiDB Cloud • پایگاه های داده توزیع شده • 10.6 ترابایت حذف کل • 200 گیگابایت نسخه اول مرحله

10.6 ترابایت کل exfil • 4،901،203 فایل • 88 صادرات شش ساعته متوالی هواپیمای کنترل تولید، شناسایی نشده • ~ 50 سطل ذخیره سازی GCP • یک انبار 533.8 میلیون ردیفی BigQuery • 180،046 ایمیل مستاجر، 303، 614 سازمان کلیدهای API مشتری متن ساده، 42612 فعال • 20645574 بیانیه SQL مشتری • 102003766 اتصال دروازه • 5036738 IP سرور مشتری • 377446 مشکل Jira • 433928 GB هزینه داده CRM از 4 مخاطبین AWStagg 92 مخازن

امروز ما نقض PingCAP را عمومی می کنیم. ما هواپیمای کنترلی کامل TiDB Cloud، وضعیت صورت‌حساب و مالی آن، ذخیره‌سازی GCP و هزینه و هزینه صورت‌حساب AWS، Jira، CRM، تجزیه و تحلیل، کد منبع آن، و گزارش چهار ساله هر ارتباطی که هر مشتری تا کنون به محصول خود برقرار کرده است، از آدرس‌های IP سرورهای برنامه‌اش، در اختیار داریم.

PingCAP TiDB Cloud، نسخه مدیریت شده پایگاه داده منبع باز TiDB را می فروشد. بانک ها، استودیوهای بازی و پلتفرم های تجارت الکترونیک حجم کار تولید خود را تحویل می دهند. PingCAP خوشه ها را در یک پلتفرم مشترک و چند مستاجر اداره می کند و کل تجارت آن بر این ادعا استوار است که انجام این کار ایمن و ایمن است. بقیه این پست گواه این است که هیچ کدام از این دو نیست.

برای اولین بار، به نظر می رسد که آنها در سرویس های ابری خود دیده نمی شوند. متأسفانه این استاندارد در میان شرکت‌هایی است که ما نقض می‌کنیم، که میلیون‌ها دلار در EDR‌های فانتزی سرمایه‌گذاری می‌کنند، اما اجازه می‌دهند نیم هزار سطل S3 از در خارج شوند. اما این یک ارائه دهنده ابر است. این وحشتناک و به طرز وحشتناکی غیرمسئولانه است که به ظاهر ناتوان در تشخیص سازش و نفوذ نامحسوس انبوه هر یک از سرویس های ابری آنها: AWS، GCP، Atlassian / Jira، Azure. ما اکسفیلتراسیون را تقریبا دو ماه ادامه دادیم و به طور منظم پس از 8 ترابایت exfil اولیه تکمیل شد.

ما حتی یک فید تکراری از پایگاه داده هواپیمای کنترل خود را با استفاده از اعتبارنامه‌های متعهد شده در مخازن خود - کلیدهای سرویس-حساب GCP و یک اصل سرویس Azure - ایجاد کردیم و به زیرساخت آنها اجازه دادیم آن را به ما تحویل دهند. هر شش ساعت، در بیست و دو روز آخر کمپین، از 8 سپتامبر تا 30 سپتامبر، آن خط لوله صادقانه تمام جدول قلب عملیاتی TiDB Cloud - مستاجران، کاربران، کلیدهای API، اعتبار خوشه‌ها، تغییرات فیدها، مهاجرت‌ها - را مجددا صادر می‌کرد و آن‌ها را خارج می‌کرد. هشتاد و هشت صادرات متوالی، نه یک رویداد شناسایی.

آخرین در 06:02 UTC در 30 سپتامبر اجرا شد. داده های هواپیمای کنترلی که حمل می کرد در مرحله اول انتشار است.

شناسه های مستاجر ناشناس نیستند. مسیر حسابرسی عملیات خود PingCAP آنها را نقشه می‌کشد:

... به علاوه، در همان جدول سازمانی 42 و فرهنگ لغت صورت‌حساب 94 ورودی که در مخزن eda_service ارسال می‌شود: Mercari، PayPay، Fujitsu، SoftBank، DMM، AEON، Square Enix، Konami، BANDAI NAMCO، Delhivery، Flipkart، AirBenBricks، Quincus، Pionex، DigiPlus، NFTscan، Baidu، SES-imagotag، Persona، Transsion، ZOZO، gumi، iret، Classmethod، Wetech، Atlassian، Cygames، SBI، LINE، Chainbase، PatSnap. VPC CIDR های آنها گنجانده شده است. نسخه های خوشه ای و نام میزبان نقطه پایانی آنها گنجانده شده است. برای افراد بدشانس که در بلیط های پشتیبانی چسبانده شده اند، اعتبار آنها نیز همینطور است.

تیم امنیتی PingCAP دقیقا مشکل جداسازی چند مستاجر محصول خود در سال 2022 را نوشت. SECURITY-22، از ردیاب امنیت داخلی، به قول خودشان:

چهار سال قبل از ورود ما، تیم امنیتی خودشان مستند کرده بودند که هر عضو یک سازمان مشتری - از جمله نقشی که فقط صورت‌حساب دارد - می‌تواند هر خوشه در آن سازمان را به عنوان ریشه در اختیار بگیرد. تاریخ بلیط 2022-08 است. این نقض تا سپتامبر 2026 ادامه داشت. یک شرکت پایگاه داده.

مهندسان PingCAP اعتبار تولید مشتریان را در بلیط های Jira می چسبانند. سه بدترین گزارش به طور کامل در نسخه گنجانده شده است (02_customer_credential_logs)، و خود بلیط ها در 05_jira_issues قرار دارند:

GTOC-5812، 01-02-2023، نظر درون بلیط (LIVE در زمان exfil):

APID-11182، پیوست 81543_tidb-log.txt، ارسال شده در تاریخ 02/05/2025 توسط [email protected]، در یک خط پشتیبان پیکربندی TiDB BR (سطل:"cdx-crs-tidb-backup"):

ARN arn:aws:iam::733131556247:user/DEVOPS — AdministratorAccess + AmazonS3FullAccess بیش از 258 سطل، از جمله cdx-exp-npci-vault-snapshot، cdx-dev-npci-los-loandoc-devp، cdsft-devp cdx-sit-npci-lgc-smarttax-cloudhsm، cdx-dev-crs-silverlake-misc-binaries. هیچ کدام از اینها متعلق به PingCAP نبود.

APID-12036، یک گزارش جستجوی آهسته تولید مشتری با حجم 314 مگابایت که به یک تیکت پشتیبانی متصل شده است (پیوست 106965، در نسخه کامل). بیانیه‌های به‌روزرسانی حاوی اطلاعات ذخیره‌سازی هر کاربر برای مشتری است: 8027 مقدار متمایز - 7485 مجموعه کلید جلسه AWS STS با محدوده مخازن جعبه سندباکس هر کاربر، 345 توکن GitHub کاربر به سرور، 192 AI-پلتفرم، کلیدهای OpenAI، Eleven، Gemini، Eleven و Eleven. OpenRouter، یک جفت کلید ریشه AWS، یک توکن دسترسی شخصی GitHub با 24 حوزه مدیریتی بیش از 1701 مخزن (843 مخزن خصوصی) -- و این فقط اعتبار سایر شرکت ها را در نظر می گیرد.

تیال هایی که هنوز زنده هستند . این مشتریان قربانی سهل انگاری PingCAP هستند. به‌ویژه شرکت‌های تاسف‌باری که اعتبار ادمین GitHub و روت AWS آنها توسط PingCAP فاش شده است. نقض‌های این دو شرکت کاملا به دلیل انتخاب ضعیف ارائه‌دهنده ابری آن‌ها است، و اگرچه ما نسبت به آنها احساس نگرانی می‌کنیم، اما به زودی از ما مطلع خواهند شد.

APID-11887، 1825 رشته اتصال تولیدی متمایز با نام کاربری و رمز عبور تعبیه شده، که یکی از آنها کلمه به کلمه:

38 نشانی وب تعیین شده S3 در سطل خود یک مشتری، debank-temp.s3.ap-northeast-1.amazonaws.com، که در 25-01-25 → 2026-02-02 توسط همان مهندس پشتیبانی ارسال شده است.

مشتریان به PingCAP اعتبارنامه هایی را که برنامه هایشان را به محصول متصل می کند، سپردند. ردیاب PingCAP سپس آنها را بین هر کسی که این داده ها را در اختیار دارد توزیع کرد.

ثبت گزارش نویسنده ARR در هر نوشتن ماهانه، به ازای هر حساب Salesforce (07_arr_salesforce_logs):

و در CRM چین، یادداشت فعالیت فروش به شرح زیر است:

crosswalk cloud_users به لایه تحلیلی مستعار به افراد نام‌گذاری شده می‌پیوندد:

آدرس‌های اینترنتی صفحه کنسول دارای زمینه مستاجر هستند: /clusters/10144798180725090481/sqleditor?orgId=1372813089209261904&projectId=1372813089454579595

کشورهای برتر: ژاپن 774 · چین 702 · هند 499 · هنگ کنگ 416 · ایالات متحده 342. کارفرمایان قابل مشاهده در دامنه های ایمیل: Klook، Colopl، Cygames، Booking.com، Mercari، Alibaba، Amazon.

نمودار reo.dev که خریداری کرده‌اند، توسعه‌دهندگان حساب‌های هدفشان را با تمایل به خرید، با ایمیل‌های تجاری و نمایه‌های لینکدین رتبه‌بندی می‌کند: Tencent 3,327 توسعه‌دهنده فعال، Huawei 2,726، ByteDance 2,475، AIG 2,140. 712 از خریداران با قصد بالا در Mastercard، Flipkart، bKash، Quark، Actian، eSewa نام برد.

از 10.6 ترابایتی که در اختیار داریم، نسخه مرحله اول پنج آرشیو tar.gz است - 128.3 گیگابایت فشرده، کمی بیش از 200 گیگابایت غیر فشرده. بیشتر به زودی.