Microsoft met en garde contre l’abus potentiel des Azure Service Tags par des acteurs malveillants pour forger des requ\u00eates provenant d’un service de confiance et contourner les r\u00e8gles de pare-feu, leur permettant ainsi d’obtenir un acc\u00e8s non autoris\u00e9 aux ressources cloud.<\/p>\n
“Cette affaire met en \u00e9vidence un risque inh\u00e9rent \u00e0 l’utilisation des balises de service comme m\u00e9canisme unique pour contr\u00f4ler le trafic r\u00e9seau entrant”, a d\u00e9clar\u00e9 le Microsoft Security Response Center (MSRC). dit<\/a> dans une orientation publi\u00e9e la semaine derni\u00e8re.<\/p>\n “Les balises de service ne doivent pas \u00eatre trait\u00e9es comme une limite de s\u00e9curit\u00e9 et ne doivent \u00eatre utilis\u00e9es que comme m\u00e9canisme de routage en conjonction avec des contr\u00f4les de validation. Les balises de service ne constituent pas un moyen complet de s\u00e9curiser le trafic vers l’origine d’un client et ne remplacent pas la validation des entr\u00e9es pour \u00e9viter les vuln\u00e9rabilit\u00e9s. qui peuvent \u00eatre associ\u00e9s \u00e0 des requ\u00eates Web.”<\/p>\n La d\u00e9claration fait suite aux conclusions de la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Tenable, qui a constat\u00e9 que les clients Azure dont les r\u00e8gles de pare-feu reposent sur Azure Service Tags pourraient \u00eatre contourn\u00e9s. Il n\u2019y a aucune preuve que cette fonctionnalit\u00e9 ait \u00e9t\u00e9 exploit\u00e9e dans la nature.<\/p>\n Le probl\u00e8me, \u00e0 la base, vient du fait que certains services Azure autorisent le trafic entrant via une \u00e9tiquette de service, permettant potentiellement \u00e0 un attaquant d’un client d’envoyer des requ\u00eates Web sp\u00e9cialement con\u00e7ues pour acc\u00e9der aux ressources d’un autre client, en supposant qu’il ait \u00e9t\u00e9 configur\u00e9 pour autorise le trafic \u00e0 partir du num\u00e9ro de service et n’effectue aucune authentification propre.<\/p>\n Au moins 10 services Azure ont \u00e9t\u00e9 jug\u00e9s vuln\u00e9rables\u00a0: Azure Application Insights, Azure DevOps, Azure Machine Learning, Azure Logic Apps, Azure Container Registry, Azure Load Testing, Azure API Management, Azure Data Factory, Azure Action Group, Azure AI Video Indexer et Azure Chaos Studio.<\/p>\n “Cette vuln\u00e9rabilit\u00e9 permet \u00e0 un attaquant de contr\u00f4ler les requ\u00eates c\u00f4t\u00e9 serveur, usurpant ainsi l’identit\u00e9 des services Azure fiables”, a d\u00e9clar\u00e9 Liv Matan, chercheuse chez Tenable. dit<\/a>. “Cela permet \u00e0 l’attaquant de contourner les contr\u00f4les r\u00e9seau bas\u00e9s sur les balises de service, qui sont souvent utilis\u00e9es pour emp\u00eacher l’acc\u00e8s public aux actifs, donn\u00e9es et services internes des clients Azure.”<\/p>\n En r\u00e9ponse \u00e0 la divulgation fin janvier 2024, Microsoft a mis \u00e0 jour<\/a> la documentation pour indiquer explicitement que \u00ab les balises de service \u00e0 elles seules ne suffisent pas \u00e0 s\u00e9curiser le trafic sans tenir compte de la nature du service et du trafic qu’il envoie \u00bb.<\/p>\n Il est \u00e9galement recommand\u00e9 aux clients de revoir leur utilisation des balises de service et de s’assurer qu’ils ont adopt\u00e9 des mesures de s\u00e9curit\u00e9 ad\u00e9quates pour authentifier uniquement le trafic r\u00e9seau approuv\u00e9 pour les balises de service.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Vulnerabilite-Azure-Service-Tags-Microsoft-met-en-garde-contre-un.gif\")
<\/a><\/center><\/div>\n