Quatre services Microsoft Azure diff\u00e9rents ont \u00e9t\u00e9 trouv\u00e9s vuln\u00e9rables \u00e0 la falsification de requ\u00eate c\u00f4t\u00e9 serveur (SSRF<\/a>) des attaques qui pourraient \u00eatre exploit\u00e9es pour obtenir un acc\u00e8s non autoris\u00e9 aux ressources du cloud.<\/p>\n Les probl\u00e8mes de s\u00e9curit\u00e9, qui ont \u00e9t\u00e9 d\u00e9couverts par Orca entre le 8 octobre 2022 et le 2 d\u00e9cembre 2022 dans Azure API Management, Azure Functions, Azure Machine Learning et Azure Digital Twins, ont depuis \u00e9t\u00e9 r\u00e9solus par Microsoft.<\/p>\n “Les vuln\u00e9rabilit\u00e9s Azure SSRF d\u00e9couvertes ont permis \u00e0 un attaquant d’analyser les ports locaux, de trouver de nouveaux services, points de terminaison et fichiers sensibles – fournissant des informations pr\u00e9cieuses sur les serveurs et services \u00e9ventuellement vuln\u00e9rables \u00e0 exploiter pour l’entr\u00e9e initiale et l’emplacement des informations sensibles \u00e0 cibler”, a d\u00e9clar\u00e9 un chercheur d’Orca. Par Lidor Ben Shitrit m’a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Deux des vuln\u00e9rabilit\u00e9s affectant Azure Functions et Azure Digital Twins pourraient \u00eatre exploit\u00e9es sans n\u00e9cessiter aucune authentification, permettant \u00e0 un acteur malveillant de prendre le contr\u00f4le d’un serveur sans m\u00eame avoir un compte Azure en premier lieu.<\/p>\n Les attaques SSRF pourraient avoir cons\u00e9quences s\u00e9rieuses<\/a> car ils permettent \u00e0 un intrus malveillant de lire ou de mettre \u00e0 jour des ressources internes, et pire encore, de pivoter vers d’autres parties du r\u00e9seau, de violer des syst\u00e8mes autrement inaccessibles pour extraire des donn\u00e9es pr\u00e9cieuses.<\/p>\n Trois des failles sont class\u00e9es importantes en gravit\u00e9, tandis que la faille SSRF affectant Azure Machine Learning est class\u00e9e en gravit\u00e9 faible. Toutes les faiblesses peuvent \u00eatre exploit\u00e9es pour manipuler un serveur afin de lancer de nouvelles attaques contre une cible sensible.<\/p>\n Un bref r\u00e9sum\u00e9 des quatre vuln\u00e9rabilit\u00e9s est le suivant –<\/p>\n Pour att\u00e9nuer ces menaces, il est recommand\u00e9 aux organisations de valider toutes les entr\u00e9es, de s’assurer que les serveurs sont configur\u00e9s pour n’autoriser que le trafic entrant et sortant n\u00e9cessaire, d’\u00e9viter les erreurs de configuration et d’adh\u00e9rer au principe du moindre privil\u00e8ge (PoLP<\/a>).<\/p>\n “L’aspect le plus notable de ces d\u00e9couvertes est sans doute le nombre de vuln\u00e9rabilit\u00e9s SSRF que nous avons pu trouver avec un minimum d’effort, indiquant juste \u00e0 quel point ils sont r\u00e9pandus<\/a> et le risque qu’ils posent dans les environnements cloud \u00bb, a d\u00e9clar\u00e9 Ben Shitrit.<\/p>\n <\/p>\n\n