Microsoft : à cause de ces failles Azure, un attaquant auraient pu accéder à vos ressources Cloud
Plusieurs services du Cloud Azure de Microsoft ont reçu une mise à jour pour corriger des vulnérabilités importantes de type SSRF et permettant à un attaquant d'obtenir un accès non autorisé à des ressources Cloud.
Cet ensemble de vulnérabilités a été découvert au sein des services Azure Functions, Azure API Management, Azure Digital Twins et Azure Machine Learning, par des chercheurs en sécurité d'Orca Security au dernier trimestre de 2022. En exploitant cette faille de sécurité via une attaque de type SSRF (Server-side request forgery), l'attaquant peut envoyer une requête malveillante à destination du service Azure vulnérable et réussir à accéder à des ressources où l'accès devrait être refusé. Ce type d'attaque peut permettre d'exfiltrer des données également.
À ce sujet, voici ce que précisent les chercheurs d'Orca Security dans leur rapport : "Les vulnérabilités Azure SSRF découvertes permettaient à un attaquant de scanner les ports locaux, de trouver de nouveaux services, points de terminaison et fichiers - fournissant des informations précieuses sur les serveurs et services éventuellement vulnérables à exploiter pour obtenir un accès initial et l'emplacement des informations potentielles à cibler".
En ce qui concerne Azure Digital Twins et Azure Functions, l'attaque est possible sans être authentifié, ce qui n'est pas le cas avec Azure API Management et Azure Machine Learning où il faut être authentifié pour tenter une attaque. Malgré tout, Microsoft a fait le nécessaire à présent et ces vulnérabilités ne sont plus exploitables.
À ce jour, les chercheurs n'ont trouvé aucune preuve que les failles ont été activement exploitées dans le cadre d'attaques. Toutefois, les administrateurs sont invités à vérifier la configuration de leurs services Azure, notamment pour configurer correctement les règles de trafic entrant et sortant pour appliquer le principe du moindre privilège.
Même si l'on parle très souvent des vulnérabilités dans les systèmes d'exploitation et les applications, cet exemple concret montre également que les environnements Cloud sont concernés par les mêmes problématiques. D'où l'important de durcir la configuration soi-même de son propre tenant dans le Cloud, que ce soit chez Microsoft ou ailleurs, dans la liste des options qui sont proposées aux administrateurs bien entendu.
