- Door
- Arnout Veenman
- geplaatst op
- 25 april 2014 08:21 uur
Wie een cloudserver bij Amazon bestelt, heeft de keuze uit een groot aantal kant-en-klare images van besturingssystemen. Er is ook een image van Microsoft Windows Server 2003 beschikbaar. Uit onderzoek van een beveiligingsbedrijf blijkt dat het bewuste image in oktober 2009 voor het laatste was bijgewerkte én de auto-update functie is uitgeschakeld. Als gevolg daarvan zit het besturingssysteem nog vol met kritische lekken en is de server waarop het image wordt geïnstalleerd, daardoor zo lek als een mandje.
Uit de blog van beveiligingsbedrijf Bkav blijkt dat het probleem met de onveilige images van Amazon aan het licht kwam n dat een klant contact opnam omdat zijn server bij Amazon gehackt was. Al snel bleek dat de laatste update op de server in oktober 2009 was geïnstalleerd en de auto-update functie was uitgeschakeld. Op basis van een proof-of-concept-code van lek MS12-020 wist het beveiligingsbedrijf de server van de klant inderdaad zelf ook eenvoudig plat te leggen.
Nader onderzoek wees uit dat de server van de klant al gehackt was nog voordat de klant er voor het eerst op was ingelogd. De verklaring daarvoor is dat een cloudserver vóórdat de klant er toegang toe kan krijgen, met het internet verbonden is. Hackers die de IP-ranges continue automatisch afspeuren naar lekke servers, kregen de server eerder in de gaten dan het moment waarop de klant kon inloggen op de server. Het feit dat een hacker een server éérder kan hacken, dan dat de klant de server zelf kan patchen, maakt deze kwestie tot een nog groter probleem.
Om te controleren of het probleem van de klant met het niet bijgewerkte image op zichzelf stond werd door Bkav bij Amazon in verschillende regio’s een server besteld met een Microsoft Windows Server 2003 image. In de meeste gevallen bleek hetzelfde probleem en een enkele server in de Engeland, Japan en de VS bleek voor het laatst op maart 2012 te zijn bijgewerkt. Dat is nog steeds ruim twee jaar geleden, een eeuwigheid wanneer het gaat om veiligheidslekken. Ook stond in alle gevallen de auto-update functie uit.
Het probleem van de images met een lek besturingssysteem beperkt zich niet alleen tot Amazon, ook twee andere grote cloudproviders HP en GoGrid blijken images met Windows aan te bieden die respectievelijk 8 en 13 maanden al niet gepatcht zijn én ook staat auto-update in beide gevallen uit. Daarnaast kan worden afgevraagd of andere images wél veilig zijn. Hoe dan ook is het aan te raden om direct na het bestellen van een virtuele server – bij welke cloudprovider dan ook – het besturingssysteem en de overige software te updaten.
