现近日，现已修复The 阿里Hacker News 网站披露 ，阿里云 ApsaraDB RDS for PostgreSQL 和 AnalyticDB for PostgreQL 数据库爆出两个关键漏洞 
。数据潜在攻击者能够利用这两个漏洞破坏租户隔离保护 ，库曝访问其它客户的两个漏洞敏感数据。

云安全公司 Wiz 在与 The 关键Hacker News 分享的一份报告中表示，这两个漏洞可能允许未经授权的现已修复攻击者访问阿里云客户的 PostgreSQL 数据库，并对两个数据库服务进行供应链攻击，香港云服务器阿里从而导致对阿里巴巴数据库服务的数据 RCE。

值得一提的库曝是，早在 2022 年 12 月阿里云就收到了漏洞报告，两个漏洞并于 2023 年 4 月 12 日部署了缓解措施
，关键此外没有证据表明这些漏洞已经被野外被利用了。现已修复

据悉，阿里这不是数据第一次在云服务中发现 PostgreSQL 漏洞 ，模板下载其它云服务厂商与曾出现过 。去年，Wiz 在其他多家头部云厂商中也发现了类似问题 。

从 Wiz 研究人员透漏出的信息来看 ，一旦潜在攻击者成功利用 AnalyticDB 的权限升级漏洞和 ApsaraDB RDS 的远程代码执行漏洞后 ，便可在容器中提升权限至 root，“逃到”底层的 Kubernetes 节点
，高防服务器并最终获得对 API 服务器的未授权访问。

不仅如此 ，获得上述权限后，攻击者可以从 API 服务器中检索与容器注册表相关的凭据
，并推送恶意映像，以控制属于共享节点上其它租户的客户数据库。

据悉 ，这不是建站模板第一次在云服务中发现 PostgreSQL 漏洞 ，其它云服务厂商与曾出现过
。去年，Wiz 在 Azure Database for PostgreSQL Flexible Server（ExtraReplica）和 IBM Cloud Databases for PostgreQL（Hell’s Keychain）中发现了类似问题。

近几年，网络犯罪分子频频盯上云服务  ，从 Palo Alto Networks Unit 42 发布的《云威胁报告》的内容来看
，威胁攻击者目前非常善于利用错误配置、弱凭证
、服务器租用缺乏认证 、未修补的漏洞和恶意的开放源码软件（OSS）包等云服务常见问题 。

然而在如此危险的网络环境下
 ，76% 的组织没有对控制台用户执行 MFA 多因素认证，58% 的组织没有对根/管理员用户执行 MFA 。