Friendoffriends
Jedním z důvodů, proč některé organizace upřednostňují hybridní cloudové služby, jako je Microsoft Azure Stack, je možnost bezpečně uchovávat citlivá data místně.
Analytici Check Point Research však před nějakou dobou odhalili dvě kritické chyby zabezpečení na platformě on-prem a nyní vydali zprávu s podrobnostmi o tom, jak to udělali.
Některé požadavky na služby nevyžadují ve službě Azure Stack žádné ověření
Vědci dokázali prokázat, jak by mohl zákeřný herec zneužít zdánlivě menší dohled nad designem softwaru a způsobit vážné potíže.
Byli překvapeni, když zjistili, že některé požadavky v Azure nevyžadují ověřování. Tato chyba zabezpečení jim umožnila přístup ke konkrétním interním prostředkům Azure Stack.
V našem případě, protože DataService nevyžadovala autentizaci, nám to nakonec umožnilo získat screenshoty a informace o nájemcích a infrastrukturních strojích.
Druhým problémem zabezpečení, který identifikovali, je padělání požadavků na straně serveru (SSRF). Tato chyba jim umožnila využít nedostatek ověření požadavku v Azure nasazením speciálně vytvořeného požadavku přes portál uživatele platformy.
Jak to stáhli
Analytici začali nastavením Azure Stack na svém vlastním počítači, aby vytvořili privátní cloud. Poté identifikovali „DataService“ jako jednu ze služeb na platformě, která nevyžadovala žádné ověření.
Při dalším zkoumání API zjistili, že na strojích Azure Stack mohou získat spoustu informací, například ID zařízení a specifikace systému.
Nakonec mohli vědci vyvolat určité funkce a pořídit snímky obrazovky na konkrétních strojích. Provedením porušení SSRF se jim podařilo získat přístup k „DataService“ a doručit požadavek na snímek obrazovky bez jakýchkoli překážek na straně serveru.
Zákazníci Azure Stack si již nemusí dělat starosti s falešnou hrozbou, protože Microsoft pro ni poskytl aktualizaci zabezpečení. Přesto se člověk nemůže ubránit otázce, jestli měl veřejný cloud Azure někdy stejný problém, vzhledem k tomu, že sdílí podobné funkce s místní alternativou.
Společnost Check Point Research kvůli podobným komplikacím nemohla podrobit veřejnou cloudovou infrastrukturu společnosti Microsoft podobnému testu.
Azure nicméně prošla dlouhou cestou. Na základě své finanční výkonnosti za druhé čtvrtletí je produkt zásadní pro celkový růst tržeb společnosti Microsoft.
Doufejme, že řešení veřejného cloudu ověřuje všechny požadavky na služby, aby se minimalizovalo riziko narušení SSRF.
- Microsoft
- Microsoft Azure
