Des chercheurs en cybers\u00e9curit\u00e9 ont r\u00e9v\u00e9l\u00e9 une faille de s\u00e9curit\u00e9 critique affectant Copilot Studio de Microsoft qui pourrait \u00eatre exploit\u00e9e pour acc\u00e9der \u00e0 des informations sensibles.<\/p>\n
Suivie sous le num\u00e9ro CVE-2024-38206 (score CVSS\u00a0: 8,5), la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9crite comme un bug de divulgation d’informations r\u00e9sultant d’une falsification de requ\u00eate c\u00f4t\u00e9 serveur (SSRF<\/a>) attaque.<\/p>\n \u00ab Un attaquant authentifi\u00e9 peut contourner la protection contre la falsification de requ\u00eate c\u00f4t\u00e9 serveur (SSRF) dans Microsoft Copilot Studio pour divulguer des informations sensibles sur un r\u00e9seau \u00bb, Microsoft dit<\/a> dans un avis publi\u00e9 le 6 ao\u00fbt 2024.<\/p>\n Le g\u00e9ant de la technologie a \u00e9galement d\u00e9clar\u00e9 que la vuln\u00e9rabilit\u00e9 avait \u00e9t\u00e9 corrig\u00e9e et qu’elle ne n\u00e9cessitait aucune action de la part du client.<\/p>\n Evan Grant, chercheur en s\u00e9curit\u00e9 chez Tenable, \u00e0 qui l’on attribue la d\u00e9couverte et le signalement de cette faille, a d\u00e9clar\u00e9 qu’elle exploite la capacit\u00e9 de Copilot \u00e0 effectuer des requ\u00eates Web externes.<\/p>\n \u00ab En combinaison avec un contournement de protection SSRF utile, nous avons utilis\u00e9 cette faille pour acc\u00e9der \u00e0 l’infrastructure interne de Microsoft pour Copilot Studio, y compris le service de m\u00e9tadonn\u00e9es d’instance (IMDS) et les instances internes de Cosmos DB \u00bb, a d\u00e9clar\u00e9 Grant. dit<\/a>.<\/p>\n En d’autres termes, la technique d’attaque a permis de r\u00e9cup\u00e9rer les m\u00e9tadonn\u00e9es de l’instance dans un message de discussion Copilot, en les utilisant pour obtenir des jetons d’acc\u00e8s d’identit\u00e9 g\u00e9r\u00e9s, qui pouvaient ensuite \u00eatre utilis\u00e9s abusivement pour acc\u00e9der \u00e0 d’autres ressources internes, notamment pour obtenir un acc\u00e8s en lecture\/\u00e9criture \u00e0 une instance Cosmos DB.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a \u00e9galement not\u00e9 que m\u00eame si l’approche ne permet pas l’acc\u00e8s aux informations inter-locataires, l’infrastructure qui alimente le service Copilot Studio est partag\u00e9e entre les locataires, ce qui affecte potentiellement plusieurs clients lorsqu’ils ont un acc\u00e8s \u00e9lev\u00e9 \u00e0 l’infrastructure interne de Microsoft.<\/p>\n Cette divulgation intervient alors que Tenable a d\u00e9taill\u00e9 deux failles de s\u00e9curit\u00e9 d\u00e9sormais corrig\u00e9es dans Azure Health Bot Service de Microsoft (CVE-2024-38109, score CVSS : 9,1), qui, si elles \u00e9taient exploit\u00e9es, pourraient permettre \u00e0 un acteur malveillant d’effectuer des mouvements lat\u00e9raux dans les environnements clients et d’acc\u00e9der aux donn\u00e9es sensibles des patients.<\/p>\n Cela fait \u00e9galement suite \u00e0 une annonce de Microsoft selon laquelle il exigera que tous les clients Microsoft Azure aient activ\u00e9 l’authentification multifacteur (MFA) sur leurs comptes \u00e0 partir d’octobre 2024 dans le cadre de sa Secure Future Initiative (SFI).<\/p>\n \u00ab L’authentification multifacteur sera n\u00e9cessaire pour se connecter au portail Azure, au centre d’administration Microsoft Entra et au centre d’administration Intune. Cette mise en \u0153uvre sera progressivement d\u00e9ploy\u00e9e sur tous les locataires du monde entier \u00bb, a d\u00e9clar\u00e9 Redmond. dit<\/a>.<\/p>\n \u00ab \u00c0 partir du d\u00e9but de l’ann\u00e9e 2025, l’application progressive de l’authentification multifacteur lors de la connexion pour Azure CLI, Azure PowerShell, l’application mobile Azure et les outils Infrastructure as Code (IaC) commencera. \u00bb<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Microsoft-corrige-une-vulnerabilite-critique-de-Copilot-Studio-qui-expose.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n