Une \u00ab faille de conception \u00bb d\u00e9couverte dans Microsoft Azure pourrait \u00eatre exploit\u00e9e par des attaquants pour acc\u00e9der aux comptes de stockage, se d\u00e9placer lat\u00e9ralement dans l’environnement et m\u00eame ex\u00e9cuter du code \u00e0 distance.<\/p>\n
“Il est possible d’abuser et d’exploiter les comptes de stockage Microsoft en manipulant Azure Functions pour voler des jetons d’acc\u00e8s d’identit\u00e9s \u00e0 privil\u00e8ges plus \u00e9lev\u00e9s, se d\u00e9placer lat\u00e9ralement, acc\u00e9der potentiellement \u00e0 des actifs commerciaux critiques et ex\u00e9cuter du code \u00e0 distance (RCE)”, a d\u00e9clar\u00e9 Orca dans un nouveau rapport<\/a> partag\u00e9 avec The Hacker News.<\/p>\n Le chemin d’exploitation qui sous-tend cette attaque est un m\u00e9canisme appel\u00e9 Autorisation de cl\u00e9 partag\u00e9e<\/a>qui est activ\u00e9 par d\u00e9faut sur les comptes de stockage.<\/p>\n Selon Microsoft, Azure g\u00e9n\u00e8re deux cl\u00e9s d’acc\u00e8s au compte de stockage 512 bits lors de la cr\u00e9ation d’un compte de stockage. Ces cl\u00e9s peuvent \u00eatre utilis\u00e9es pour autoriser l’acc\u00e8s aux donn\u00e9es via l’autorisation de cl\u00e9 partag\u00e9e ou via des jetons SAS sign\u00e9s avec la cl\u00e9 partag\u00e9e.<\/p>\n “Les cl\u00e9s d’acc\u00e8s au compte de stockage fournissent un acc\u00e8s complet \u00e0 la configuration d’un compte de stockage, ainsi qu’aux donn\u00e9es”, Microsoft Remarques<\/a> dans sa documentation. “L’acc\u00e8s \u00e0 la cl\u00e9 partag\u00e9e accorde \u00e0 un utilisateur un acc\u00e8s complet \u00e0 la configuration d’un compte de stockage et \u00e0 ses donn\u00e9es.”<\/p>\n La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud a d\u00e9clar\u00e9 que ces jetons d’acc\u00e8s peuvent \u00eatre vol\u00e9s en manipulant Azure Functions, permettant potentiellement \u00e0 un acteur malveillant d’acc\u00e9der \u00e0 un compte avec R\u00f4le de contributeur de compte de stockage<\/a> pour augmenter les privil\u00e8ges et prendre le contr\u00f4le des syst\u00e8mes.<\/p>\n Plus pr\u00e9cis\u00e9ment, devrait-on identit\u00e9 manag\u00e9e<\/a> \u00eatre utilis\u00e9 pour appeler l’application Function, il pourrait \u00eatre utilis\u00e9 de mani\u00e8re abusive pour ex\u00e9cuter n’importe quelle commande. Ceci, \u00e0 son tour, est rendu possible gr\u00e2ce au fait qu’un compte de stockage d\u00e9di\u00e9 est cr\u00e9\u00e9 lors du d\u00e9ploiement d’une application Azure Function.<\/p>\n “Une fois qu’un attaquant a localis\u00e9 le compte de stockage d’une application Function \u00e0 laquelle est attribu\u00e9e une identit\u00e9 g\u00e9r\u00e9e forte, il peut ex\u00e9cuter du code en son nom et, par cons\u00e9quent, acqu\u00e9rir une \u00e9l\u00e9vation des privil\u00e8ges d’abonnement (PE)”, a d\u00e9clar\u00e9 Roi Nisimi, chercheur chez Orca.<\/p>\n Apprenez \u00e0 s\u00e9curiser le p\u00e9rim\u00e8tre d’identit\u00e9 – Strat\u00e9gies \u00e9prouv\u00e9es<\/p>\n Am\u00e9liorez la s\u00e9curit\u00e9 de votre entreprise gr\u00e2ce \u00e0 notre prochain webinaire sur la cybers\u00e9curit\u00e9 dirig\u00e9 par des experts\u00a0: Explorez les strat\u00e9gies de p\u00e9rim\u00e8tre d’identit\u00e9\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n En d’autres termes, en exfiltrant le jeton d’acc\u00e8s de l’identit\u00e9 manag\u00e9e attribu\u00e9e \u00e0 l’application Azure Function sur un serveur distant, un pirate peut \u00e9lever les privil\u00e8ges, se d\u00e9placer lat\u00e9ralement, acc\u00e9der \u00e0 de nouvelles ressources et ex\u00e9cuter un reverse shell sur les machines virtuelles.<\/p>\n “En rempla\u00e7ant les fichiers de fonction dans les comptes de stockage, un attaquant peut voler et exfiltrer une identit\u00e9 \u00e0 privil\u00e8ges plus \u00e9lev\u00e9s et l’utiliser pour se d\u00e9placer lat\u00e9ralement, exploiter et compromettre les joyaux de la couronne les plus pr\u00e9cieux des victimes”, a expliqu\u00e9 Nisimi.<\/p>\n Comme mesures d’att\u00e9nuation, il est recommand\u00e9 aux organisations d’envisager de d\u00e9sactiver l’autorisation Azure Shared Key et d’utiliser \u00e0 la place l’authentification Azure Active Directory. Dans une divulgation coordonn\u00e9e, Microsoft a dit<\/a> il “pr\u00e9voit de mettre \u00e0 jour le fonctionnement des outils clients Functions avec les comptes de stockage”.<\/p>\n \u00ab Cela inclut des changements pour mieux prendre en charge les sc\u00e9narios utilisant l’identit\u00e9. Une fois que les connexions bas\u00e9es sur l’identit\u00e9 pour AzureWebJobsStorage seront g\u00e9n\u00e9ralement disponibles et que les nouvelles exp\u00e9riences seront valid\u00e9es, l’identit\u00e9 deviendra le mode par d\u00e9faut pour AzureWebJobsStorage, qui est destin\u00e9 \u00e0 s’\u00e9loigner de l’autorisation de cl\u00e9 partag\u00e9e \u00bb, a d\u00e9clar\u00e9 le g\u00e9ant de la technologie ajout\u00e9.<\/p>\n Les r\u00e9sultats arrivent des semaines apr\u00e8s que Microsoft a corrig\u00e9 un probl\u00e8me de mauvaise configuration affectant Azure Active Directory qui a permis de falsifier les r\u00e9sultats de recherche Bing et une vuln\u00e9rabilit\u00e9 XSS refl\u00e9t\u00e9e dans Azure Service Fabric Explorer (SFX) qui pourrait conduire \u00e0 l’ex\u00e9cution de code \u00e0 distance non authentifi\u00e9.<\/p>\n <\/p>\n