Friendoffriends
Uma das razões pelas quais algumas organizações preferem serviços de nuvem híbrida como o Microsoft Azure Stack é a opção de manter dados confidenciais no local com segurança.
Mas os analistas da Check Point Research expuseram duas vulnerabilidades de segurança críticas na plataforma local há algum tempo e agora lançaram um relatório detalhando como fizeram isso.
Algumas solicitações de serviço não exigiram validação na pilha do Azure
Os pesquisadores conseguiram demonstrar como um agente malicioso pode explorar um descuido aparentemente menor no design do software para causar sérios problemas.
Eles ficaram surpresos ao descobrir que algumas solicitações no Azure não exigiam autenticação. Essa vulnerabilidade possibilitou que eles acessassem recursos internos específicos da pilha do Azure.
Em nosso caso, como o DataService não exigia autenticação, isso eventualmente nos permitiu obter capturas de tela e informações sobre locatários e máquinas de infraestrutura.
O segundo problema de segurança que eles identificaram é a falsificação de solicitação do lado do servidor (SSRF). Essa falha permitiu que eles aproveitassem a falta de validação de solicitação no Azure, implantando uma solicitação especialmente criada por meio do portal do usuário da plataforma.
Como eles conseguiram
Os analistas começaram configurando a pilha do Azure em seu próprio computador para criar uma nuvem privada. Em seguida, eles identificaram "DataService" como um dos serviços na plataforma que não exigia validação.
Após uma exploração mais aprofundada de APIs, eles descobriram que poderiam obter muitas informações em máquinas de pilha do Azure, como ID de dispositivo e especificações de sistema.
Em última análise, os pesquisadores podem invocar certas funções e fazer capturas de tela em máquinas específicas. Ao executar uma violação de SSRF, eles conseguiram acessar "DataService" e entregar uma solicitação de captura de tela sem qualquer obstáculo do lado do servidor.
Os clientes da pilha do Azure não precisam mais se preocupar com a ameaça de falsificação, pois a Microsoft forneceu uma atualização de segurança para ela. Ainda assim, não se pode deixar de imaginar se a nuvem pública Azure já teve o mesmo problema, considerando que compartilha recursos semelhantes com a alternativa local.
A Check Point Research não pôde submeter a infraestrutura de nuvem pública da Microsoft a um teste semelhante devido às complicações envolvidas.
Azure percorreu um longo caminho, no entanto. Com base em seu desempenho financeiro para o segundo trimestre, o produto é vital para o crescimento geral da receita da Microsoft.
Felizmente, a solução de nuvem pública valida todas as solicitações de serviço para minimizar o risco de invasão de SSRF.
- microsoft
- Microsoft Azure
