Microsoft a corrig\u00e9 un probl\u00e8me de mauvaise configuration affectant Azure Active Directory (DAA<\/a>) service de gestion des identit\u00e9s et des acc\u00e8s qui a expos\u00e9 plusieurs applications “\u00e0 fort impact” \u00e0 un acc\u00e8s non autoris\u00e9.<\/p>\n “L’une de ces applications est un syst\u00e8me de gestion de contenu (CMS) qui alimente Bing.com et nous a permis non seulement de modifier les r\u00e9sultats de recherche, mais \u00e9galement de lancer des attaques XSS \u00e0 fort impact sur les utilisateurs de Bing”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Wiz. a dit<\/a> dans un rapport. “Ces attaques pourraient compromettre les donn\u00e9es personnelles des utilisateurs, y compris les e-mails Outlook et les documents SharePoint.”<\/p>\n Les probl\u00e8mes ont \u00e9t\u00e9 signal\u00e9s \u00e0 Microsoft en janvier et f\u00e9vrier 2022, apr\u00e8s quoi le g\u00e9ant de la technologie a appliqu\u00e9 des correctifs et a accord\u00e9 \u00e0 Wiz une prime de bogue de 40 000 $. Redmond a dit<\/a> il n’a trouv\u00e9 aucune preuve que les erreurs de configuration aient \u00e9t\u00e9 exploit\u00e9es dans la nature.<\/p>\n Le n\u0153ud de la vuln\u00e9rabilit\u00e9 d\u00e9coule de ce qu’on appelle la \u00ab\u00a0confusion de responsabilit\u00e9 partag\u00e9e\u00a0\u00bb, dans laquelle une application Azure peut \u00eatre configur\u00e9e de mani\u00e8re incorrecte pour autoriser les utilisateurs de n’importe quel locataire Microsoft, ce qui peut entra\u00eener un cas potentiel d’acc\u00e8s involontaire.<\/p>\n Il est int\u00e9ressant de noter qu’un certain nombre d’applications internes de Microsoft pr\u00e9sentent ce comportement, permettant ainsi \u00e0 des parties externes d’obtenir la lecture et l’\u00e9criture dans les applications concern\u00e9es.<\/p>\n Cela inclut l’application Bing Trivia, que la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a exploit\u00e9e pour modifier les r\u00e9sultats de recherche dans Bing et m\u00eame manipuler le contenu de la page d’accueil dans le cadre d’une cha\u00eene d’attaque baptis\u00e9e BingBang.<\/p>\n Pour aggraver les choses, l’exploit pourrait \u00eatre militaris\u00e9 pour d\u00e9clencher une attaque de script intersite (XSS) sur Bing.com et extraire les e-mails Outlook, les calendriers, les messages Teams, les documents SharePoint et les fichiers OneDrive d’une victime.<\/p>\n “Un acteur malveillant avec le m\u00eame acc\u00e8s aurait pu d\u00e9tourner les r\u00e9sultats de recherche les plus populaires avec la m\u00eame charge utile et divulguer des donn\u00e9es sensibles \u00e0 des millions d’utilisateurs”, a not\u00e9 Hillai Ben-Sasson, chercheur chez Wiz.<\/p>\n Parmi les autres applications qui ont \u00e9t\u00e9 jug\u00e9es sensibles au probl\u00e8me de mauvaise configuration, citons Mag News, Central Notification Service (CNS), Contact Center, PoliCheck, Power Automate Blog et COSMOS.<\/p>\n Devenez un pro de la r\u00e9ponse aux incidents\u00a0!<\/p>\n D\u00e9couvrez les secrets d’une r\u00e9ponse aux incidents \u00e0 toute \u00e9preuve – Ma\u00eetrisez le processus en 6 phases avec Asaf Perlman, le responsable IR de Cynet\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n Le d\u00e9veloppement intervient alors que la soci\u00e9t\u00e9 de test de p\u00e9n\u00e9tration d’entreprise NetSPI r\u00e9v\u00e9l\u00e9<\/a> d\u00e9tails d’une vuln\u00e9rabilit\u00e9 inter-locataires dans Connecteurs Power Platform<\/a> qui pourraient \u00eatre exploit\u00e9es pour acc\u00e9der \u00e0 des donn\u00e9es sensibles.<\/p>\n Suite \u00e0 la divulgation responsable en septembre 2022, la vuln\u00e9rabilit\u00e9 de d\u00e9s\u00e9rialisation a \u00e9t\u00e9 r\u00e9solue par Microsoft en d\u00e9cembre 2022.<\/p>\n La recherche fait \u00e9galement suite \u00e0 la publication de correctifs pour corriger Super FabriXss (CVE-2023-23383, score CVSS : 8,2), une vuln\u00e9rabilit\u00e9 XSS refl\u00e9t\u00e9e dans Azure Service Fabric Explorer (SFX) qui pourrait conduire \u00e0 l’ex\u00e9cution de code \u00e0 distance non authentifi\u00e9.<\/p>\n <\/p>\n![\"Vuln\u00e9rabilit\u00e9](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/Microsoft-corrige-une-nouvelle-vulnerabilite-Azure-AD-affectant-la-recherche.gif\" "\\"Vuln\u00e9rabilit\u00e9")
<\/div>\n![\"Vuln\u00e9rabilit\u00e9](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1680381182_732_Microsoft-corrige-une-nouvelle-vulnerabilite-Azure-AD-affectant-la-recherche.png\" "\\"Vuln\u00e9rabilit\u00e9")
<\/div>\n