GCP Terraform Misconfiguration: Compute Engine IP Forwarding Enabled

Una configuración de Terraform establece una instancia de Compute Engine sin bloquear el inicio de sesión IP en todo el proyecto.

Si no se bloquea el tráfico de red no deseado, se amplía la superficie de ataque de un servicio en la nube.

De manera predeterminada, el reenvío de IP está deshabilitado en una instancia de Compute Engine. El reenvío de IP permite enviar y recibir paquetes con direcciones IP de origen o destino que no coinciden. Un atacante puede explotar esto enrutando paquetes a través de la instancia de Compute Engine para eludir el control de acceso a la red.

Ejemplo 1: La siguiente configuración de Terraform habilita el reenvío de IP configurando can_ip_forward como true.

resource "google_compute_instance" "compute_instance_demo" {
  ...
  can_ip_forward = true
  ...
}