Des chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert deux failles de s\u00e9curit\u00e9 dans Azure Health Bot Service de Microsoft qui, si elles \u00e9taient exploit\u00e9es, pourraient permettre \u00e0 un acteur malveillant d’effectuer des mouvements lat\u00e9raux dans les environnements clients et d’acc\u00e9der aux donn\u00e9es sensibles des patients.<\/p>\n
Les probl\u00e8mes critiques, d\u00e9sormais corrig\u00e9s par Microsoft, auraient pu permettre l’acc\u00e8s aux ressources inter-locataires au sein du service, a d\u00e9clar\u00e9 Tenable dans un nouveau communiqu\u00e9. rapport<\/a> partag\u00e9 avec The Hacker News.<\/p>\n Le service Azure AI Health Bot est un Plateforme cloud<\/a> qui permet aux d\u00e9veloppeurs des organisations de soins de sant\u00e9 de cr\u00e9er et de d\u00e9ployer des assistants de sant\u00e9 virtuels bas\u00e9s sur l’IA et de cr\u00e9er des copilotes pour g\u00e9rer les charges de travail administratives et interagir avec leurs patients.<\/p>\n Cela inclut les robots cr\u00e9\u00e9s par les prestataires de services d\u2019assurance pour permettre aux clients de consulter l\u2019\u00e9tat d\u2019une r\u00e9clamation et de poser des questions sur les prestations et les services, ainsi que les robots g\u00e9r\u00e9s par les entit\u00e9s de soins de sant\u00e9 pour aider les patients \u00e0 trouver les soins appropri\u00e9s ou \u00e0 rechercher des m\u00e9decins \u00e0 proximit\u00e9.<\/p>\n Les recherches de Tenable se concentrent sp\u00e9cifiquement sur un aspect du service Azure AI Health Bot appel\u00e9 Connexions de donn\u00e9es<\/a>qui, comme son nom l’indique, offre un m\u00e9canisme d’int\u00e9gration de donn\u00e9es provenant de sources externes, qu’il s’agisse de tiers ou des propres points de terminaison API des fournisseurs de services.<\/p>\n Bien que la fonctionnalit\u00e9 dispose de mesures de protection int\u00e9gr\u00e9es pour emp\u00eacher l’acc\u00e8s non autoris\u00e9 aux API internes, des recherches plus approfondies ont r\u00e9v\u00e9l\u00e9 que ces protections pouvaient \u00eatre contourn\u00e9es en \u00e9mettant des r\u00e9ponses de redirection (c’est-\u00e0-dire des codes d’\u00e9tat 301 ou 302) lors de la configuration d’une connexion de donn\u00e9es \u00e0 l’aide d’un h\u00f4te externe sous son contr\u00f4le.<\/p>\n En configurant l’h\u00f4te pour r\u00e9pondre aux requ\u00eates avec une r\u00e9ponse de redirection 301 destin\u00e9e au service de m\u00e9tadonn\u00e9es d’Azure (IMDS<\/a>), Tenable a d\u00e9clar\u00e9 qu’il \u00e9tait possible d’obtenir une r\u00e9ponse de m\u00e9tadonn\u00e9es valide, puis d’obtenir un jeton d’acc\u00e8s pour la gestion.azure[.]com.<\/p>\n Le jeton pourrait ensuite \u00eatre utilis\u00e9 pour r\u00e9pertorier les abonnements auxquels il donne acc\u00e8s au moyen d’un appel \u00e0 un point de terminaison Microsoft qui, \u00e0 son tour, renvoie un ID d’abonnement interne, qui pourrait finalement \u00eatre exploit\u00e9 pour r\u00e9pertorier les ressources accessibles en appelant une autre API.<\/p>\n Par ailleurs, il a \u00e9galement \u00e9t\u00e9 d\u00e9couvert que un autre point final<\/a> relatif \u00e0 l’int\u00e9gration de syst\u00e8mes prenant en charge les ressources d’interop\u00e9rabilit\u00e9 rapide des soins de sant\u00e9 (FHIR<\/a>) Le format d\u2019\u00e9change de donn\u00e9es \u00e9tait \u00e9galement susceptible d\u2019\u00eatre victime de la m\u00eame attaque.<\/p>\n Tenable a d\u00e9clar\u00e9 avoir fait part de ses conclusions \u00e0 Microsoft en juin et juillet 2024, apr\u00e8s quoi le fabricant de Windows a commenc\u00e9 \u00e0 d\u00e9ployer des correctifs dans toutes les r\u00e9gions. Il n’y a aucune preuve que le probl\u00e8me ait \u00e9t\u00e9 exploit\u00e9 dans la nature. <\/p>\n \u00ab Ces vuln\u00e9rabilit\u00e9s suscitent des inqui\u00e9tudes quant \u00e0 la mani\u00e8re dont les chatbots peuvent \u00eatre exploit\u00e9s pour r\u00e9v\u00e9ler des informations sensibles \u00bb, a d\u00e9clar\u00e9 Tenable dans un communiqu\u00e9. \u00ab En particulier, les vuln\u00e9rabilit\u00e9s concernaient une faille dans l’architecture sous-jacente du service de chatbot, soulignant l’importance de la s\u00e9curit\u00e9 des applications Web et du cloud traditionnelles \u00e0 l’\u00e8re des chatbots IA. \u00bb<\/p>\n La r\u00e9v\u00e9lation intervient quelques jours apr\u00e8s que Semperis ait d\u00e9taill\u00e9 une technique d’attaque appel\u00e9e Non autoris\u00e9<\/a> qui permet l’escalade des privil\u00e8ges \u00e0 l’aide de Microsoft ID d’entr\u00e9e<\/a> (anciennement Azure Active Directory), y compris la possibilit\u00e9 d’ajouter et de supprimer des utilisateurs de r\u00f4les privil\u00e9gi\u00e9s. Microsoft a depuis combl\u00e9 la faille de s\u00e9curit\u00e9.<\/p>\n \u00ab Un acteur malveillant aurait pu utiliser cet acc\u00e8s pour effectuer une \u00e9l\u00e9vation de privil\u00e8ges au niveau d’administrateur global et installer d’autres moyens de persistance dans un locataire \u00bb, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Eric Woodruff. dit<\/a>\u00ab Un attaquant pourrait \u00e9galement utiliser cet acc\u00e8s pour effectuer un mouvement lat\u00e9ral dans n’importe quel syst\u00e8me de Microsoft 365 ou Azure, ainsi que dans n’importe quelle application SaaS connect\u00e9e \u00e0 Entra ID. \u00bb<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Des-chercheurs-decouvrent-des-vulnerabilites-dans-le-service-Azure-Health.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n