網絡安全研究人員近日披露了Google云平臺（GCP）中一個已修復的高危漏洞，該漏洞可能允許攻擊者在基于Apache Airflow的Cloud Composer工作流編排服務中提升權限。

權限提升漏洞分析

Tenable高級安全研究員Liv Matan在向The Hacker News提供的報告中指出："該漏洞使擁有Cloud Composer編輯權限的攻擊者能夠將其訪問權限提升至默認的Cloud Build服務賬戶，該賬戶在GCP服務（如Cloud Build、Cloud Storage和Artifact Registry）中擁有高級權限。"

網絡安全公司將該漏洞命名為ConfusedComposer，認為它是ConfusedFunction漏洞的變種。ConfusedFunction是影響GCP云函數服務的權限提升漏洞，攻擊者可利用該漏洞未經授權訪問其他服務和敏感數據。

攻擊原理與影響

攻擊者需要具備Cloud Composer環境的編輯權限（即composer.environments.update），才能利用該漏洞注入惡意的Python包索引（PyPI）包，通過Cloud Build實現權限提升。由于Cloud Composer允許用戶在環境中安裝自定義PyPI包，攻擊者可通過惡意包中的安裝腳本在關聯的Cloud Build實例中執行任意代碼。

Matan解釋道："ConfusedComposer的重要性在于它揭示了云服務間后臺交互如何通過權限提升被利用。在此案例中，攻擊者只需擁有更新Cloud Composer環境的權限，就能訪問Cloud Storage和Artifact Registry等關鍵GCP服務。"

成功利用該漏洞可能導致攻擊者竊取敏感數據、中斷服務以及在CI/CD管道中部署惡意代碼，甚至為部署后門創造條件，從而長期控制受感染的云環境。

修復措施

在Tenable負責任的披露后，Google已于2025年4月13日修復該漏洞，停止使用Cloud Build服務賬戶安裝PyPI包。Google在2025年1月15日的公告中表示："將改用環境的服務賬戶。之前使用默認Cloud Build服務賬戶的現有Cloud Composer 2環境將改用環境的服務賬戶。"

其他云服務漏洞

與此同時，Varonis Threat Labs發現微軟Azure存在一個漏洞，可能導致擁有Azure SQL Server特權訪問權限的攻擊者通過修改配置，在管理員操作時造成數據丟失。微軟在2024年8月5日獲知該問題后，已于2025年4月9日完全修復。

Datadog Security Labs還披露了微軟Entra ID受限管理單元中的一個漏洞，攻擊者可利用該漏洞阻止全局管理員修改、刪除或禁用選定用戶。微軟已于2025年2月22日修復該問題。

近期，威脅行為者還瞄準了托管在AWS EC2實例上的網站，利用服務器端請求偽造（SSRF）漏洞提取元數據信息。F5 Labs研究員Merlyn Albery-Speyer指出："EC2實例元數據是AWS提供的一項功能，允許EC2實例在運行時訪問所需信息，而無需進行身份驗證或調用外部API。這可能暴露公網/私網IP地址、實例ID和IAM角色憑證等攻擊者感興趣的敏感數據。"