Поделиться
Check Point обнаружил опасные уязвимости Microsoft Azure
Исследователи Check Point Research, подразделения компании Check Point Software Technologies, выявили две уязвимости Microsoft Azure, одного из ведущих поставщиков облачных вычислений в мире. Исследователи обнаружили, что пользователи в сети Azure могли получить контроль над всем сервером, что могло привести к краже или изменению кода бизнес-приложений организаций.
Первый недостаток безопасности был обнаружен в Azure Stack. Уязвимость Azure Stack позволяла хакеру получить скриншоты и конфиденциальную информацию о машинах, работающих на Azure. Вторую уязвимость обнаружили в службе приложений Azure App Service. Недостаток безопасности позволял хакерам получить контроль над всем сервером Azure и, следовательно, получить контроль над кодом бизнес-приложений организаций.
Check Point и Microsoft провели совместную работу, чтобы сделать облако более безопасным.
Azure Stack — это программное решение для облачных вычислений, разработанное корпорацией Microsoft, которое помогает предприятиям предоставлять службы Azure из собственного центра обработки данных. Microsoft создала Azure Stack, чтобы помочь организациям использовать гибридные облачные вычисления на их собственных условиях, используя возможности облака. При этом компании могут учитывать различные технические и бизнес факторы, такие как нормативные требования, суверенность данных, настройки и задержка данных.
Исследователям Check Point удалось получить снимки экрана и конфиденциальную информацию о клиентах Azure и машинах инфраструктуры. Эта уязвимость позволила бы хакеру получить конфиденциальную информацию о любом предприятии, на котором оно работает в Azure. Чтобы это сделать, злоумышленнику необходимо было сначала получить доступ к порталу Azure Stack, что позволяет отправлять неаутентифицированные HTTP-запросы, содержащие снимки экрана и информацию об арендаторах и машинах инфраструктуры.
Служба приложений Azure — это полностью управляемая «Платформа как услуга» (Platform as a Service, PaaS), которая объединяет веб-сайты Microsoft Azure, мобильные и другие услуги в единую службу. Такая служба дает новые возможности, которые обеспечивают интеграцию с локальными или облачными системами.
Служба приложений Azure предоставляет пользователям несколько возможностей. Среди них — предоставление и развертывание мобильных и веб-приложений, создание приложений для iOS, Android и Windows, автоматизация бизнес-процессов с помощью визуального проектирования и интеграция с приложениями «Программное обеспечение как услуга» (Software as a Service, SaaS), такими как Salesforce, Marketo и DropBox.
Исследователи из Check Point доказали, что хакеры могли скомпрометировать приложения, данные и учетные записи клиента, создав бесплатного пользователя в облаке Azure и воспользовавшись уязвимыми местами Azure.
Поделиться
Короткая ссылка
