Microsoft Azure Hizmetlerindeki Kusurlar Bulut Kaynaklarını Yetkisiz Erişime Açık Hale Getirebilir

 

Dört farklı Microsoft Azure hizmeti, bulut kaynaklarına yetkisiz erişim elde etmek için kullanılabilecek sunucu tarafı istek sahteciliği (SSRF) saldırılarına karşı savunmasız bulundu.

Orca tarafından 8 Ekim 2022 ile 2 Aralık 2022 tarihleri arasında Azure API Management, Azure Functions, Azure Machine Learning ve Azure Digital Twins'de keşfedilen güvenlik sorunları Microsoft tarafından giderildi.

Orca araştırmacısı By Lidor Ben Shitrit, The Hacker News ile paylaştığı bir raporda, "Keşfedilen Azure SSRF güvenlik açıkları, bir saldırganın yerel bağlantı noktalarını taramasına, yeni hizmetler, uç noktalar ve hassas dosyalar bulmasına olanak tanıyarak, ilk giriş için yararlanılacak olası savunmasız sunucular ve hizmetler ve hedeflenecek hassas bilgilerin konumu hakkında değerli bilgiler sağladı" dedi.

Azure İşlevleri ve Azure Dijital İkizleri'ni etkileyen güvenlik açıklarından ikisi, herhangi bir kimlik doğrulaması gerektirmeden kötüye kullanılabilir ve bir tehdit aktörünün ilk etapta bir Azure hesabına sahip olmadan bir sunucunun kontrolünü ele geçirmesine olanak tanır.

SSRF saldırıları, kötü niyetli bir müdahalecinin dahili kaynakları okumasına veya güncellemesine ve daha da kötüsü, ağın diğer bölümlerine dönmesine, değerli verileri elde etmek için başka türlü erişilemeyen sistemleri ihlal etmesine olanak tanıdığı için ciddi sonuçlar doğurabilir.

Kusurlardan üçü önem derecesine göre Önemli olarak derecelendirilirken, Azure Machine Learning'i etkileyen SSRF kusuru önem derecesine göre Düşük olarak derecelendirilmiştir. Tüm zayıflıklar, duyarlı bir hedefe karşı daha fazla saldırı düzenlemek üzere bir sunucuyu manipüle etmek için kullanılabilir.

Dört güvenlik açığının kısa bir özeti aşağıdaki gibidir

• Azure Digital Twins Explorer'da kimliği doğrulanmamış SSRF, /proxy/blob uç noktasındaki "blob.core.windows[.]net" ile son eklenmiş herhangi bir hizmetten yanıt almak için kullanılabilecek bir kusur aracılığıyla

1. Yerel bağlantı noktalarını numaralandırmak ve dahili uç noktalara erişmek için kullanılabilecek Azure İşlevlerinde kimliği doğrulanmamış SSRF

• Azure API Management hizmetinde, hassas dosyalara erişmek için kullanılabilecek bir kaynak kodu yönetim hizmetiyle ilişkili bir bağlantı noktası da dahil olmak üzere dahili bağlantı noktalarını listelemek için kullanılabilecek kimliği doğrulanmış SSRF

• Keyfi uç noktalardan içerik almak için kullanılabilecek /datacall/streamcontent uç noktası aracılığıyla Azure Machine Learning hizmetinde kimliği doğrulanmış SSRF

Bu tür tehditleri azaltmak için kuruluşların tüm girdileri doğrulamaları, sunucuların yalnızca gerekli gelen ve giden trafiğe izin verecek şekilde yapılandırıldığından emin olmaları, yanlış yapılandırmalardan kaçınmaları ve en az ayrıcalık ilkesine (PoLP) uymaları önerilir.

Ben Shitrit, "Bu keşiflerin en dikkat çekici yönü, tartışmasız bir şekilde, yalnızca minimum çabayla bulabildiğimiz SSRF güvenlik açıklarının sayısıdır; bu da bunların ne kadar yaygın olduğunu ve bulut ortamlarında oluşturdukları riski göstermektedir" dedi.

thehackernews'dan alıntıdır.