Облако скомпрометировали через калькулятор тарифов

Команда Bastion Pentest Team разобрала цепочку атак на облачную инфраструктуру, которая началась с LFR-уязвимости в калькуляторе расчета тарифов. Вспомогательный сервис позволял читать произвольные локальные файлы — этого хватило, чтобы получить доступ к панели управления облаком с полными правами.

Статья опубликована в издании «Бастион». Инцидент показывает, как второстепенные компоненты инфраструктуры становятся входными точками для полной компрометации системы.