ช่องโหว่บน Microsoft Azure Services เสี่ยงต่อการถูกเข้าถึงข้อมูลได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์

Orca บริษัทด้านความปลอดภัยไซเบอร์ได้ค้นพบช่องโหว่ที่เกี่ยวข้องกับบริการ Microsoft Azure โดยช่องโหว่ดังกล่าวถูกพบในช่วงระหว่างวันที่ 8 ตุลาคม 2022 ถึง 2 ธันวาคม 2022 ซึ่งส่งผลกระทบต่อ Azure API Management, Azure Functions, Azure Machine Learning และ Azure Digital Twins me ซึ่งทำให้ผู้โจมตีสามารถหลีกเลี่ยงการตรวจสอบสิทธิ์ และเข้าถึงข้อมูลบนเครื่องปลายทางได้

โดยปัจจุบันทาง Microsoft ได้ออกอัปเดตเพื่อแก้ไขช่องโหว่เรียบร้อยแล้ว

ช่องโหว่บนบริการ Microsoft Azure มีดังนี้

• ช่องโหว่ Unauthenticated SSRF บน Azure Digital Twins Explore โดยช่องโหว่อยู่ใน /proxy/blob endpoint ทำให้มีความเสี่ยงถูกโจมตีเพื่อรับ response จากบริการใดๆก็ตามที่ต่อท้ายด้วย "blob.core.windows[.]net"
• ช่องโหว่ Unauthenticated SSRF บน Azure Functions สามารถสแกนเพื่อระบุพอร์ตในเครื่อง และเข้าถึงเครื่องปลายทางได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์
• ช่องโหว่ Authenticated SSRF บน Azure API Management สามารถสแกนค้นหาพอร์ตภายใน รวมถึงพอร์ตที่เกี่ยวข้องกับบริการการจัดการซอร์สโค้ดที่สามารถใช้เพื่อเข้าถึงไฟล์ข้อมูลที่สำคัญได้
• ช่องโหว่ Authenticated SSRF บน Azure Machine Learning service สามารถหลีกเลี่ยงการตรวจสอบสิทธิ์และเข้าถึงข้อมูลบนเครื่องปลายทางได้

คำแนะนำ

• ตรวจสอบการตั้งค่า input ทั้งหมด และกำหนดค่าให้อนุญาตเฉพาะทราฟฟิกขาเข้า และขาออกเท่าที่จำเป็นเท่านั้น
• ตรวจสอบการ config ให้มีความปลอดภัย รวมถึงจำกัด และให้สิทธิเท่าที่จำเป็นตามหลัก principle of least privilege (PoLP)

ที่มา : thehackernews