Green Agent nhanh chóng xác định và đề xuất giải pháp cho lỗ hổng internet-facing container

Một lỗ hổng nghiêm trọng vừa được phát hiện trong một container internet-facing với lỗ hổng ban đầu có thể truy cập. Green Agent đã nhanh chóng xác định rủi ro và đề xuất giải pháp mà không gây gián đoạn hoạt động sản xuất.

Nội dung chính

• Green Agent đã xác định rủi ro liên quan đến container internet-facing với lỗ hổng CVE-2026-111497.
• Lỗ hổng này có thể truy cập vào dữ liệu nhạy cảm thông qua IAM role và pods.
• Green Agent đã đề xuất các giải pháp như xác thực middleware, điều chỉnh IAM policy và xóa dữ liệu nhạy cảm.
• Green Agent đã xác định rằng không cần phải thay đổi code ngay lập tức để giảm rủi ro.
• Green Agent đã phân tích và xác định các engineer có trách nhiệm để thực hiện các giải pháp.

Chi tiết sự việc

Một vấn đề quan trọng vừa được phát hiện trong một môi trường: một container công khai chạy hình ảnh có lỗ hổng truy cập ban đầu, với một vai trò có thể tiếp cận dữ liệu nhạy cảm.

Với trí tuệ nhân tạo (AI) giúp giảm thời gian từ phát hiện đến khai thác, áp lực để sửa chữa vấn đề nhanh chóng rất lớn. Tuy nhiên, việc khắc phục không chỉ đơn thuần là về tốc độ. Các nhóm phải cân bằng giữa sự cấp bách về an ninh và sự liên tục của hoạt động kinh doanh, chạy đua với thời gian để trả lời ba câu hỏi quan trọng: điều gì bị ảnh hưởng, cách khắc phục là gì, và ai sẽ nhận được giải pháp khắc phục.

Công cụ Wiz Security Graph giúp các nhóm an ninh trả lời câu hỏi đầu tiên. Nó liệt kê con đường công khai chi tiết, bao gồm các điểm kết nối công khai, triển khai phía sau chúng, hình ảnh nơi lỗ hổng CVE tồn tại, và con đường di chuyển ngang giúp kẻ tấn công từ thực thi mã đến thùng chứa chứa thông tin cá nhân (PII).

Tuy nhiên, để tìm ra giải pháp và người sở hữu, cần điều tra sâu hơn mà các nhóm an ninh không thể dành nhiều thời gian. Họ phải liên hệ nhanh chóng với người phát triển để triển khai giải pháp, nếu giải pháp tồn tại, và áp dụng các biện pháp giảm thiểu rủi ro trong khi không làm gián đoạn thời gian hoạt động sản xuất.

Đó là lý do chúng tôi đã xây dựng Green Agent. Trong bài viết này, chúng tôi rất phấn khích khi tiết lộ cách Green Agent điều tra vấn đề này trong vài phút và xác định các chiến lược khắc phục mà nó đề xuất.

Điều tra

1. Hiểu rõ vấn đề

Green Agent bắt đầu bằng cách hấp thụ ngữ cảnh của Wiz Security Graph để xác định toàn bộ con đường tấn công. Vấn đề này đại diện cho một sự kết hợp nguy hiểm tập trung vào một Kubernetes triển khai duy nhất trong một AWS EKS cluster.

Wiz Security Graph liên kết năm loại rủi ro khác nhau hội tụ vào công việc này duy nhất:

Công khai: Đường truyền mạng trực tiếp từ internet đến container.

Lỗ hổng: Một lỗ hổng truy cập ban đầu CVE-2026-111497 trên hình ảnh container.

Kubernetes cluster không an toàn: một pod gắn thẻ dịch vụ tài khoản để kết nối vào đám mây.

Green Agent xác nhận rằng các thư viện Brotli có lỗ hổng đang được hoạt động bởi quá trình Node.js tải vào bộ nhớ, chứng minh rằng việc thực thi mã là mối đe dọa thực tế, sống động.

Ngoài ra, Green Agent đã kiểm tra các thông báo từ nguồn và xác nhận rằng các bản vá từ nhà cung cấp (bao gồm Node.js 22.23.4 và libbrotli 1.2.1) đã sẵn có, chứng minh rằng một giải pháp mã vĩnh viễn là khả thi.

Tuy nhiên, quy trình phát hành tổ chức có nghĩa là triển khai một hình ảnh container mới thông qua các bước kiểm thử và CI/CD cần thời gian. Vì con đường tấn công có thể bị phá vỡ ở bất kỳ một trong năm loại rủi ro, Green Agent đã chuyển sang các liên kết còn lại - cấu hình Kubernetes, vai trò IAM và dữ liệu nhạy cảm - để xem liệu có thể cắt đứt nguy cơ ngay lập tức trong đám mây.

Đánh giá Mối nguy trong Đám mây: Có thể cắt đứt con đường Đám mây không?

Xác minh kết nối của tác vụ với lưu trữ đám mây, Green Agent đã đánh giá ba loại rủi ro còn lại:

Green Agent đã xem xét tài khoản dịch vụ Kubernetes và xác nhận rằng nó đã truyền bằng chứng đám mây qua IRSA vào container. Điều này tiết lộ một cách khắc phục nguy cơ ngay lập tức: tắt automount token trên pod spec để cắt đứt truy cập đám mây.

Green Agent đã kiểm tra vai trò IAM giả định và tìm thấy các quyền s3:GetObject và s3:* có quyền truy cập rộng rãi trên ba thùng S3. Điều này tiết lộ một cách khắc phục thứ hai: thu hẹp chính sách IAM xuống mức tối thiểu.

Green Agent đã tra cứu thùng S3 và phát hiện hơn 5,000 bản ghi không bị che (thẻ tín dụng và PII) trong các tệp, xác định một cách khắc phục thứ ba: xóa hoặc che giấu dữ liệu không bảo vệ tại nghỉ.

Khám phá các lớp này đã chứng minh rằng Green Agent không cần phải chờ đợi triển khai mã để khử nguy cơ. Nhiều cách khắc phục không gián đoạn đã sẵn có trong đám mây ngay lúc này.

Chân Traces Code đến Đám mây: Tìm nguồn và chủ sở hữu

Khắc phục đám mây có thể cắt đứt con đường tấn công ngay lập tức và mua thời gian quan trọng, nhưng khắc phục vĩnh viễn yêu cầu sửa chữa tại nguồn. Nếu thay đổi không được ghi vào mã, phiên bản tiếp theo của CI/CD hoặc Terraform sẽ đơn giản xóa các thay đổi đám mây của bạn và tạo ra vấn đề lại. Green Agent đã gọi Subagent Code để kết nối tài sản chạy lại với quản lý phiên bản, truy dấu hình ảnh container đến Dockerfile nguồn, vai trò IAM nhạy cảm đến định nghĩa Terraform, và tác vụ đến biểu hiện GitOps triển khai.

Bằng cách kiểm tra lịch sử commit và thông tin, Green Agent đã kết nối mỗi sửa chữa trực tiếp với các kỹ sư thực sự duy trì mã: người phát triển ứng dụng, chủ dịch vụ và người dẫn đầu hạ tầng, để đội ngũ bảo mật không phải đi tìm chủ sở hữu đúng.

Green Agent mang đến hai yếu tố quan trọng trong việc khắc phục sự cố: đáp ứng yêu cầu an ninh cấp bách và duy trì bối cảnh cần thiết để bảo vệ sự liên tục của hoạt động kinh doanh. Điều này đặc biệt khó khăn trong lĩnh vực an ninh mạng.

Đầu tiên, tốc độ. Với rủi ro và mối đe dọa di chuyển nhanh hơn bao giờ hết, yêu cầu cấp bách về an ninh đòi hỏi một phản ứng ngay lập tức. Một nhóm nhân viên an ninh phải mất hàng giờ hoặc vài ngày để chuyển đổi bối cảnh: kiểm tra điểm kết nối công khai, kiểm tra nếu thư viện Brotli có thực sự trong bộ nhớ, kiểm tra chính sách IAM của nền tảng đám mây, và theo dõi mã Git nào đã xây dựng hình ảnh. Green Agent đã thực hiện điều tra này trong vài phút, loại bỏ sự gián đoạn và đoán mò thường gặp khi khắc phục sự cố.

Thứ hai, thông tin vận hành. Khắc phục sự cố không chỉ là vấn đề của nhóm an ninh, mà còn là quyết định tổ chức yêu cầu hiểu các thay đổi thực tế. Green Agent biết rõ không nên đề xuất xóa điểm kết nối công khai và ngắt bỏ dịch vụ công khai sẽ ảnh hưởng đến hoạt động kinh doanh. Thay vào đó, nó đã phân biệt giữa các biện pháp khắc phục đám mây không gián đoạn và sửa đổi mã vĩnh viễn, tìm thấy các tệp chính xác trong quản lý phiên bản, và giao công việc trực tiếp cho các kỹ sư sở hữu chúng.

Sự cân bằng này giúp tổ chức chuyển dần sang tự động hóa khắc phục sự cố. Trước khi nhóm chuyển giao chìa khóa cho tự thực thi, họ cần phải tin tưởng vào Green Agent thực sự hiểu các thay đổi kinh doanh và sẽ không làm hỏng sản xuất. Khi kỹ sư thấy rằng Green Agent thực sự hiểu các thay đổi kinh doanh và sẽ không làm hỏng sản xuất, họ có thể an toàn chuyển từ xem xét từng hành động (người trong vòng lặp) sang giám sát (người ở vòng lặp).

Đây là tiến trình cuối cùng cho phép nhóm đi trên con đường tự chữa lành, đồng thời cho kỹ sư lấy lại thời gian để tiếp tục xây dựng.

Đối tượng bị ảnh hưởng

Container internet-facing với lỗ hổng ban đầu có thể truy cập vào dữ liệu nhạy cảm.

Khuyến nghị

• Kiểm tra và xác thực middleware để ngăn chặn truy cập không được phép.
• Điều chỉnh IAM policy để giảm quyền truy cập.
• Xóa hoặc mã hóa dữ liệu nhạy cảm tại nơi lưu trữ.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn Wiz Research. Vui lòng đối chiếu bài gốc trước khi sử dụng.