Phát hiện lỗ hổng bảo mật trên Dịch vụ đám mây Azure của Microsoft

Việc ngày càng có nhiều doanh nghiệp chuyển sang sử dụng công nghệ đám mây khiến cho nhiệm vụ bảo mật cơ sở hạ tầng này trở nên quan trọng hơn bao giờ hết.



Một nghiên cứu mới đây đã phát hiện hai lỗi bảo mật trên Azure App Service của Microsoft có khả năng cho phép tin tặc thực hiện các cuộc tấn công giả mạo request phía máy chủ ( SSRF ), hoặc tấn công thực thi mã tùy ý và chiếm quyền điều khiển máy chủ quản trị.



“Những lỗi bảo mật này cho phép kẻ tấn công âm thầm chiếm quyền kiểm soát máy chủ git của App Service, hoặc cài các trang lừa đảo phishing độc hại qua Azure Portal để nhắm mục tiêu vào các quản trị viên hệ thống,” công ty an ninh mạng Intezer cho biết trong một báo cáo được công bố gần đây.



Được phát hiện bởi Paul Litvak thuộc Intezer Labs, các lỗ hổng đã được báo cáo cho Microsoft vào tháng 6 và sau đó đã được công ty này nhanh chóng giải quyết.



Azure App Service là một nền tảng dựa trên điện toán đám mây và được sử dụng như một dịch vụ lưu trữ web để xây dựng các ứng dụng web và mobile backend.



Khi một App Service được tạo qua Azure, một môi trường Docker mới sẽ được tạo với hai container node (node quản lý và node ứng dụng), cùng với việc đăng ký hai tên miền dẫn tới máy chủ web HTTP của ứng dụng, và trang quản trị của dịch vụ ứng dụng. Sau đó nó sử dụng Kudu để thực hiện triển khai liên tục ứng dụng từ các nhà cung cấp dịch vụ lưu trữ mã nguồn như GitHub hay Bitbucket.





Tương tự, việc triển khai Azure trên môi trường Linux được quản lý bởi một dịch vụ có tên là KuduLite . Dịch vụ này cung cấp thông tin chẩn đoán về hệ thống, và bao gồm một giao diện web giúp SSH vào node ứng dụng (được gọi là “ webssh “).



Lỗ hổng đầu tiên là một lỗi leo thang đặc quyền cho phép kẻ tấn công chiếm quyền kiểm soát KuduLite thông qua các thông tin đăng nhập được mã hóa cứng (“root:Docker!”). Nó cho phép SSH vào instance và đăng nhập bằng quyền root, do đó cho phép kẻ tấn công kiểm soát hoàn toàn máy chủ web SCM (hay còn gọi là Quản lý cấu hình phần mềm).



Theo các nhà nghiên cứu, điều này có thể cho phép kẻ tấn công “biết được các HTTP request của người dùng tới trang web SCM và chèn Javascript độc hại vào trang web của người dùng.”



Lỗ hổng bảo mật thứ hai liên quan đến cách node ứng dụng gửi các request đến KuduLite API. Nó có nguy cơ cho phép các ứng dụng web chứa lỗ hổng SSRF truy cập vào hệ thống file node, đánh cắp mã nguồn cũng như các thông tin nhạy cảm khác.



“Kẻ tấn công thực hiện tấn công giả mạo POST request có thể thực thi mã từ xa trên node ứng dụng thông qua lệnh API,” các nhà nghiên cứu cho biết.



Hơn nữa, việc khai thác thành công lỗ hổng thứ hai đồng nghĩa với việc kẻ tấn công có thể kết hợp hai lỗi bảo mật để vừa khai thác lỗ hổng SSRF và tấn công leo thang đặc quyền, nhằm giành toàn bộ quyền kiểm soát máy chủ web KuduLite.



Được biết Microsoft đang nỗ lực không ngừng để cải thiện bảo mật trên các hệ thống đám mây và Internet vạn vật (IoT). Sau khi cung cấp nền tảng IoT Azure Sphere vào đầu năm nay, “gã khổng lồ công nghệ” này đã mở cửa cho các nhà nghiên cứu thâm nhập vào dịch vụ với mục tiêu “phát hiện các lỗ hổng bảo mật nghiêm trọng trước tin tặc.”



>> Bug Bounty là gì? Tìm hiểu về chương trình săn lỗi bảo mật nhận tiền thưởng



“Công nghệ đám mây cho phép các nhà phát triển xây dựng và triển khai ứng dụng một cách linh hoạt và với tốc độ cao, tuy nhiên, cơ sở hạ tầng này thường bị ảnh hưởng bởi các lỗ hổng ngoài tầm kiểm soát của họ,” Intezer cho biết. “Đối với App Service, các ứng dụng được đồng lưu trữ với một container quản trị bổ sung, mà các thành phần bổ sung thì có nguy cơ cao đem đến các mối đe dọa tiềm ẩn.”



“Một trong những biện pháp đầu tiên mà người dùng có thể áp dụng để giảm thiểu rủi ro là bảo mật thời gian chạy của đám mây (runtime cloud security). Bởi nó là tuyến phòng thủ quan trọng cuối cùng và có khả năng phát hiện ra các hành vi chèn mã độc, cũng như các mối đe dọa khác trong bộ nhớ khi lỗ hổng bị kẻ tấn công khai thác.”



Theo The Hacker News
The post Phát hiện lỗ hổng bảo mật trên Dịch vụ đám mây Azure của Microsoft appeared first on SecurityDaily .