Plus de détails ont été révélés sur un ensemble de failles XSS (cross-site scripting) désormais corrigées dans le Microsoft Azure HDInsight service d’analyse open source qui pourrait être utilisé par un acteur malveillant pour mener des activités malveillantes.
« Les vulnérabilités identifiées consistaient en six vulnérabilités XSS stockées et deux vulnérabilités XSS réfléchies, chacune pouvant être exploitée pour effectuer des actions non autorisées, allant de l’accès aux données au détournement de session et à la fourniture de charges utiles malveillantes », a déclaré Lidor Ben Shitrit, chercheur en sécurité chez Orca. dit dans un rapport partagé avec The Hacker News.
Les problèmes ont été résolus par Microsoft dans le cadre de ses mises à jour du Patch Tuesday d’août 2023.
La divulgation intervient trois mois après que des lacunes similaires ont été signalées dans Azure Bastion et Azure Container Registry qui auraient pu être exploitées pour un accès et des modifications non autorisés aux données.
La liste des défauts est la suivante –
- CVE-2023-35393 (score CVSS : 4,5) – Vulnérabilité d’usurpation d’identité dans Azure Apache Hive
- CVE-2023-35394 (score CVSS : 4,6) – Vulnérabilité d’usurpation d’identité du notebook Azure HDInsight Jupyter
- CVE-2023-36877 (score CVSS : 4,5) – Vulnérabilité d’usurpation d’identité dans Azure Apache Oozie
- CVE-2023-36881 (score CVSS : 4,5) – Vulnérabilité d’usurpation d’identité dans Azure Apache Ambari
- CVE-2023-38188 (score CVSS : 4,5) – Vulnérabilité d’usurpation d’identité dans Azure Apache Hadoop
« Un attaquant devrait envoyer à la victime un fichier malveillant que la victime devrait exécuter », a noté Microsoft dans ses avis sur les bugs. « Un attaquant autorisé disposant de privilèges d’invité doit envoyer à une victime un site malveillant et la convaincre de l’ouvrir. »
Les attaques XSS se produisent lorsqu’un adversaire injecte des scripts malveillants dans un site Web légitime, qui sont ensuite exécutés sur les navigateurs Web des victimes lors de la visite du site. Alors que le XSS réfléchi cible les utilisateurs qui sont amenés à cliquer sur un lien frauduleux, le XSS stocké est intégré dans une page Web et affecte tous les utilisateurs qui y accèdent.
L’identité est le nouveau point de terminaison : maîtriser la sécurité SaaS à l’ère moderne
Plongez dans l’avenir de la sécurité SaaS avec Maor Bin, PDG d’Adaptive Shield. Découvrez pourquoi l’identité est le nouveau point final. Réservez votre place maintenant.
La société de sécurité cloud a déclaré que toutes les failles proviennent d’un manque de nettoyage approprié des entrées, ce qui permet d’afficher des caractères malveillants lors du chargement du tableau de bord.
« Ces faiblesses permettent collectivement à un attaquant d’injecter et d’exécuter des scripts malveillants lorsque les données stockées sont récupérées et affichées aux utilisateurs », a noté Ben Shitrit, exhortant les organisations à mettre en œuvre une validation d’entrée et un codage de sortie adéquats pour « garantir que les données générées par les utilisateurs sont correctement nettoyées ». avant d’être affiché dans les pages Web. »