Um grupo de investigadores da empresa de segurança Tenable afirma ter descoberto uma falha, associada com a plataforma Azure Service Tag, que pode permitir aos atacantes terem acesso a dados sensíveis dos clientes.
Esta funcionalidade da plataforma da Microsoft permite limitar o acesso a determinados serviços da rede, permitindo apenas tráfego originário da Azure e de uma lista de IPs autorizados para tal.
No entanto, a empresa de segurança afirma ter descoberto uma falha, que pode permitir aos atacantes enviarem pedidos forjados para a plataforma, fazendo-se passar por pedidos válidos da Azure, e que permitem assim contornar as regras de segurança da plataforma. Isto pode permitir acessos indevidos a dados dos clientes, e a realização de ataques diretos com possível roubo de dados de terceiros.
A empresa afirma ter informado a Microsoft sobre esta falha, mas terá recebido a resposta que a mesma não é considerada uma vulnerabilidade, e como tal, não será realizado uma correção da mesma.
Tendo em conta que a Microsoft não vai lançar uma correção para este problema, a empresa de segurança indica que todos os utilizadores do Azure Service Tags encontram-se potencialmente vulneráveis a estes ataques.
Esta falha pode afetar ainda outras plataformas onde a Service Tags sejam usadas, como:
- Azure DevOps
- Azure Machine Learning
- Azure Logic Apps
- Azure Container Registry
- Azure Load Testing
- Azure API Management
- Azure Data Factory
- Azure Action Group
- Azure AI Video Indexer
- Azure Chaos Studio
Para prevenir a exploração da falha, os investigadores recomendam que os clientes apliquem medidas de autenticação adicionais para prevenirem acessos de terceiros nas suas plataformas e redes internas.
Em resposta ao caso, a Microsoft afirma que não considera esta falha no Azure Service Tags, indicando que o serviço não serve diretamente como um meio de segurança para os sistemas dos utilizadores na plataforma, embora tal não esteja diretamente descrito na informação do mesmo. A empresa considera ainda que a Azure Service Tags não deve ser considerada uma medida de segurança primária das redes da Azure, e é aplicada como um meio complementar para tal.
Nenhum comentário
Seja o primeiro!