微软修复严重的Azure漏洞，可用于泄露客户数据

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

微软修复了Azure 自动化服务中的一个漏洞，可导致攻击者完全控制其它Azure 客户的数据。

微软 Azure 自动化服务提供进程自动化、配置管理和更新管理特性服务，每个Azure 客户的每个预定任务都在隔离的沙箱中运行。

该漏洞由 Orca Security 公司的云安全研究员Yanir Tsarimi 发现并被命名为 “AutoWarp”。攻击者可利用该漏洞从管理其它用户沙箱的内部服务器中窃取其它Azure 客户的管理身份认证令牌。他指出，“具有恶意意图的人员本可继续抓取令牌，并利用每个令牌攻击更多的Azure客户。根据客户分配权限的情况，这种攻击可导致目标账户的资源和数据被完全控制。我们发现很多大公司都受影响，包括一家跨国电信公司、两家汽车制造商、一家银行企业集团、四家会计事务所等等。”

无在野利用证据

受该漏洞影响的Azure 自动化账户包括启用了管理身份特性的账户（Tsarimi 指出，默认为启用状态）。

微软表示，“使用自动化Hybrid工人进行执行和/或自动化Run-As账户访问资源的自动化账户并不受影响。”

2021年12月10日，在漏洞报告第五天，微软拦截除合法访问权限以外的对所有沙箱的认证令牌的访问权限。

微软于今天披露该漏洞，并表示并未发现管理身份令牌遭滥用或AutoWarp遭利用的证据。微软已通知所有受影响 Azure自动化服务客户并推荐采取相关安全最佳实践。

另外，2021年12月，微软还修复了另外一个 Azure 漏洞（被称为”NotLegit”），攻击者可利用该漏洞获得访问客户 Azure web应用源代码的访问权限。

---

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

微软 Azure App Service 漏洞 NotLegit已存在4年，客户源代码被暴露

微软在 Linux 虚拟机偷偷安装Azure App，后修复严重漏洞但Linux虚拟机难以修复

因使用五年前的老旧代码，Azure 容器险遭黑客接管，微软已修复

Windows 365 以明文形式暴露微软 Azure 凭据

我发现了 Microsoft Azure 中的两个漏洞

原文链接

https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-critical-azure-bug-that-exposed-customer-data/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~