Friendoffriends
Unul dintre motivele pentru care unele organizații preferă serviciile cloud hibride precum Microsoft Azure Stack este opțiunea de a păstra datele sensibile în incintă, în siguranță..
Dar analiștii Check Point Research au expus cu ceva timp în urmă două vulnerabilități critice de securitate pe platforma on-prem și au lansat acum un raport care detaliază modul în care au făcut-o.
Unele cereri de servicii nu au necesitat validare în Azure Stack
Cercetătorii au reușit să demonstreze cum un actor rău intenționat ar putea exploata o supraveghere aparent minoră în proiectarea de software pentru a provoca probleme serioase.
Au fost surprinși să descopere că unele cereri din Azure nu necesită autentificare. Această vulnerabilitate le-a permis accesul la resurse interne specifice Azure Stack.
În cazul nostru, deoarece DataService nu a necesitat autentificare, acest lucru ne-a permis în cele din urmă să obținem capturi de ecran și informații despre chiriași și mașini de infrastructură.
A doua problemă de securitate pe care au identificat-o este falsificarea cererii de pe server (SSRF). Acest defect le-a permis să profite de lipsa validării cererilor în Azure prin implementarea unei cereri special create prin intermediul portalului pentru utilizatori al platformei..
Cum au scos-o
Analiștii au început prin configurarea Azure Stack pe propriul computer pentru a crea un cloud privat. Apoi au identificat „DataService” ca unul dintre serviciile de pe platformă care nu necesită validare.
După o explorare ulterioară a API-urilor, au descoperit că pot obține o mulțime de informații despre mașinile Azure Stack, cum ar fi ID-ul dispozitivului și specificațiile sistemului.
În cele din urmă, cercetătorii ar putea invoca anumite funcții și pot face capturi de ecran pe anumite mașini. Prin executarea unei încălcări SSRF, aceștia au reușit să acceseze „DataService” și să livreze o cerere de captură de ecran fără nici un obstacol de la server.
Clienții Azure Stack nu mai trebuie să se îngrijoreze de amenințarea de falsificare deoarece Microsoft a furnizat o actualizare de securitate pentru aceasta. Totuși, nu ne putem abține să nu ne întrebăm dacă cloud-ul public Azure a avut vreodată aceeași problemă, având în vedere că împărtășește caracteristici similare cu alternativa on-prem.
Check Point Research nu a putut supune infrastructura cloud publică Microsoft unui test similar din cauza complicațiilor implicate.
Azure a parcurs un drum lung, totuși. Pe baza performanței sale financiare pentru al doilea trimestru, produsul este vital pentru creșterea globală a veniturilor Microsoft.
Sperăm că soluția cloud publică validează toate cererile de servicii pentru a minimiza riscul de intruziune SSRF.
- Microsoft
- Microsoft Azure
