Microsoft Azure’daki büyük güvenlik sorunu ortaya çıktı

Araştırmacılar Microsoft Azure’daki büyük güvenlik sorununu ortaya çıkardı 
Uzmanlar, Microsoft’un Azure bulut platformunun, kurban kuruluşların farkında olmadan uç noktalarında kötü amaçlı yazılım çalıştırmasına neden olabilecek yüksek önem derecesine sahip bir güvenlik açığı taşıdığı konusunda uyardı.

Vectra’dan araştırmacılar, yakın tarihli bir blog yazısında sorunu özetleyerek, güvenlik açığının – ironik bir şekilde – bir bulut ortamındaki kötü amaçlı etkinlikleri izlemek için kullanılan bir araç olan Azure Günlüklerinde yattığını belirtti (diğer şeylerin yanı sıra). Günlükler, bir Azure yöneticisinin yalnızca okuyacağı – ve düzenlemeyeceği – bir şey gibi görünse de, kullanıcının kullanıcı kimlikleri, e-posta adresleri, mesaj konuları ve benzeri gibi üzerinde kontrol sahibi olduğu bazı veri parçaları vardır.

Araştırmacılar, günlüklere kötü amaçlı veriler enjekte ederek, bunları işleyen uygulamaların kötü amaçlı yazılım çalıştırmak üzere kandırılabileceğini iddia ediyor.

CSV Enjeksiyonu
“Örneğin, bir hesap kayıt formunda XSS (Cross-Site Scripting) yükü içeren sahte bir e-posta adresi gönderilebilir,” diyor araştırma. “Ve bu kaydı bir tarayıcıda açan uygulama yöneticisi bir XSS saldırısının kurbanı olabilir.”
Ancak insanların cihazlarına kötü amaçlı yazılım bırakmanın CSV Enjeksiyonu adı verilen başka bir yolu daha var. Azure Günlükleri bir CSV dosyası (Virgülle Ayrılmış Değerler) olarak indirilebildiğinden, dosyanın, dosya açıldığında programın yürüteceği bir Excel formülü içermesi mümkündür. Bazı formüller – tahmin ettiğiniz gibi – kötü niyetli olabilir, işletim sistemi komut yürütme ve diğer istismarlara zorlayabilir. Raporda, “Sadece rastgele komutlar çalıştırılabildiği için değil, aynı zamanda kullanıcılar CSV dosyalarının herhangi bir zarara neden olamayacak düz metin dosyaları olduğunu düşünerek genellikle bunu bilmedikleri için de tehlikeli olabilir” deniyor.

Araştırmacılar, bu güvenlik açıklarının kimliği doğrulanmadan çalıştırılabileceği sonucuna vararak, saldırganların bulut ortamında bir hesaba sahip olmalarının gerekmediğini öne sürdü.

İyi haber şu ki, güvenlik açığı tamamen yamalanmış Excel örneklerinde çalışmıyor, bu nedenle sizinkinin güncel olduğundan emin olun.

 

Daha fazla haber için;

Bu yeni mini PC, kompakt bir güç merkezi