Une nouvelle faille critique d’ex\u00e9cution de code \u00e0 distance (RCE) d\u00e9couverte affectant plusieurs services li\u00e9s \u00e0 Microsoft Azure pourrait \u00eatre exploit\u00e9e par un acteur malveillant pour prendre compl\u00e8tement le contr\u00f4le d’une application cibl\u00e9e.<\/p>\n
“La vuln\u00e9rabilit\u00e9 est obtenue par CSRF<\/a> (cross-site request forgery) sur le service SCM omnipr\u00e9sent Kudu \u00bb, chercheuse Ermetic Liv Matan m’a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News. “En abusant de la vuln\u00e9rabilit\u00e9, les attaquants peuvent d\u00e9ployer des fichiers ZIP malveillants contenant une charge utile sur l’application Azure de la victime.”<\/p>\n La soci\u00e9t\u00e9 isra\u00e9lienne de s\u00e9curit\u00e9 des infrastructures cloud, qui a qualifi\u00e9 la lacune EmojiD\u00e9ploiement<\/strong>a d\u00e9clar\u00e9 que cela pourrait en outre permettre le vol de donn\u00e9es sensibles et le mouvement lat\u00e9ral vers d’autres services Azure.<\/p>\n Microsoft a depuis corrig\u00e9 la vuln\u00e9rabilit\u00e9 le 6 d\u00e9cembre 2022, \u00e0 la suite d’une divulgation responsable le 26 octobre 2022, en plus d’attribuer une prime de bogue de 30 000 $.<\/p>\n Le fabricant de fen\u00eatres d\u00e9crit<\/a> Kudu en tant que “moteur derri\u00e8re un certain nombre de fonctionnalit\u00e9s d’Azure App Service li\u00e9es au d\u00e9ploiement bas\u00e9 sur le contr\u00f4le de code source et d’autres m\u00e9thodes de d\u00e9ploiement telles que la synchronisation Dropbox et OneDrive”.<\/p>\n Dans une cha\u00eene d’attaque hypoth\u00e9tique con\u00e7ue par Ermetic, un adversaire pourrait exploiter la vuln\u00e9rabilit\u00e9 CSRF dans le panneau Kudu SCM pour vaincre les sauvegardes mises en place pour contrecarrer attaques d’origine crois\u00e9e<\/a> en envoyant une requ\u00eate sp\u00e9cialement con\u00e7ue au point de terminaison “\/api\/zipdeploy” pour fournir une archive malveillante (par exemple, un shell Web) et obtenir un acc\u00e8s \u00e0 distance.<\/p>\n La falsification de requ\u00eates intersites, \u00e9galement connue sous le nom de surf en mer ou session riding, est un vecteur d’attaque par lequel un acteur malveillant trompe un utilisateur authentifi\u00e9 d’une application Web pour qu’il ex\u00e9cute des commandes non autoris\u00e9es en son nom. <\/p>\n Le fichier ZIP, quant \u00e0 lui, est encod\u00e9 dans le corps de la requ\u00eate HTTP, invitant l’application victime \u00e0 naviguer vers un domaine de contr\u00f4le d’acteur h\u00e9bergeant le malware via le serveur politique de m\u00eame origine<\/a> contourne.<\/p>\n “L’impact de la vuln\u00e9rabilit\u00e9 sur l’organisation dans son ensemble d\u00e9pend des autorisations de l’identit\u00e9 g\u00e9r\u00e9e des applications”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. “L’application efficace du principe du moindre privil\u00e8ge peut limiter consid\u00e9rablement le rayon de l’explosion.”<\/p>\n Les r\u00e9sultats surviennent quelques jours apr\u00e8s qu’Orca Security a r\u00e9v\u00e9l\u00e9 quatre instances d’attaques de falsification de requ\u00eate c\u00f4t\u00e9 serveur (SSRF) affectant Azure API Management, Azure Functions, Azure Machine Learning et Azure Digital Twins.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/Nouvelle-vulnerabilite-Microsoft-Azure-decouverte-\u2014-EmojiDeploy-pour-les-attaques.gif\")
<\/div>\n