nouvelles

Azure Stack est à nouveau sensible aux vulnérabilités de sécurité

Azure Stack est à nouveau sensible aux vulnérabilités de sécurité

L'une des raisons pour lesquelles certaines organisations préfèrent les services de cloud hybride comme Microsoft Azure Stack est la possibilité de conserver les données sensibles sur site, en toute sécurité.

Mais les analystes de Check Point Research ont révélé deux vulnérabilités de sécurité critiques dans la plate-forme sur site il y a quelque temps, et ils ont maintenant publié un rapport détaillant comment ils l'ont fait..

Certaines demandes de service ne nécessitaient aucune validation dans Azure Stack

Les chercheurs ont pu démontrer comment un acteur malveillant pouvait exploiter un oubli apparemment mineur dans la conception de logiciels pour causer de graves problèmes..

Ils ont été surpris de découvrir que certaines demandes dans Azure ne nécessitaient pas d'authentification. Cette vulnérabilité leur a permis d'accéder à des ressources Azure Stack internes spécifiques.

Dans notre cas, comme DataService ne nécessitait pas d'authentification, cela nous a finalement permis d'obtenir des captures d'écran et des informations sur les locataires et les machines d'infrastructure.

Le deuxième problème de sécurité qu'ils ont identifié est la falsification de demande côté serveur (SSRF). Cette faille leur a permis de profiter de l'absence de validation des requêtes dans Azure en déployant une requête spécialement conçue via le portail utilisateur de la plateforme.

Comment ils ont réussi

Les analystes ont commencé par configurer Azure Stack sur leur propre ordinateur pour créer un cloud privé. Ils ont ensuite identifié «DataService» comme l'un des services de la plateforme qui ne nécessitait aucune validation.

Après une exploration plus approfondie des API, ils ont découvert qu'ils pouvaient obtenir de nombreuses informations sur les machines Azure Stack, telles que l'ID d'appareil et les spécifications système..

En fin de compte, les chercheurs pourraient invoquer certaines fonctions et prendre des captures d'écran sur des machines spécifiques. En exécutant une violation SSRF, ils ont réussi à accéder à «DataService» et à envoyer une demande de capture d'écran sans aucune entrave côté serveur.

Les clients Azure Stack n'ont plus à s'inquiéter de la menace d'usurpation d'identité, car Microsoft a fourni une mise à jour de sécurité pour celle-ci. Pourtant, on ne peut s'empêcher de se demander si le cloud public Azure a jamais eu le même problème, étant donné qu'il partage des fonctionnalités similaires avec l'alternative sur site.

Check Point Research n'a pas pu soumettre l'infrastructure de cloud public de Microsoft à un test similaire en raison des complications impliquées.

Azure a néanmoins parcouru un long chemin. Sur la base de ses performances financières pour le deuxième trimestre, le produit est essentiel à la croissance globale des revenus de Microsoft.

Espérons que la solution de cloud public valide toutes les demandes de service pour minimiser le risque d'intrusion SSRF.

Fix Impossible d'installer les mises à jour de Pokémon Go sur Windows 10 Mobile
Pokémon Go pour Windows 10 Mobile a récemment reçu un nouveau Pokedex, ainsi que de nombreuses autres fonctionnalités. Malheureusement, certains utili...
Correction des baisses de fréquence d'images dans les jeux de compatibilité descendante Xbox One
Le programme de rétrocompatibilité Xbox One permet aux joueurs de jouer gratuitement à leurs jeux Xbox 360 préférés sur la Xbox One. La liste des jeux...
Fix Lumia ne télécharge pas la mise à jour anniversaire de Windows 10 Mobile
La mise à jour anniversaire pour Windows 10 Mobile est enfin là, après la sortie des versions PC. Cependant, tout le monde n'est pas en mesure de récu...