Sin embargo, las etiquetas de servicio de Azure son vulnerables a una falla que podría permitir a los actores de amenazas robar datos confidenciales de las personas, afirmaron algunos investigadores. microsoft Se nota la diferencia.
Azure Service Tags es una característica de Microsoft Azure que ayuda a simplificar la administración de la seguridad de la red al permitir a los usuarios definir controles de acceso a la red basados en grupos lógicos de direcciones IP en lugar de direcciones IP individuales. Estas etiquetas de servicio representan un conjunto de prefijos de direcciones IP de servicios específicos de Azure, que se pueden usar en reglas de seguridad para grupos de seguridad de red (NSG), rutas definidas por el usuario (UDR) y Azure Firewall.
en los últimos días un informelos investigadores de seguridad de Tenable dijeron que los piratas informáticos podrían aprovechar la falla para crear solicitudes web maliciosas similares a SSRF y, por lo tanto, parecer confiables. Servicios de Azure. Por lo tanto, cualquier regla de firewall que dependa de etiquetas de servicio de Azure es discutible.
Mecanismo de dirección
“Esta es una vulnerabilidad de alto riesgo que podría permitir a un atacante acceder a los datos privados de los clientes de Azure”, escribió Liv Matan de Tenable.
Al explicar la fuente de la vulnerabilidad, Mattan dijo que la función App Insights permite a los usuarios crear comprobaciones de disponibilidad para su aplicación o dispositivo. Los atacantes pueden abusar de la funcionalidad Prueba de disponibilidad de prueba clásica o Prueba estándar para exponer las API internas alojadas en los puertos 80/443, que normalmente alojan activos web.
“Debido a que Microsoft no planea lanzar un parche para esta vulnerabilidad, todos los clientes de Azure están en riesgo. Recomendamos encarecidamente que los clientes revisen inmediatamente la documentación central emitida por MSRC y sigan las instrucciones cuidadosamente”.
Además del servicio Azure Application Insights, también se encontró que otros diez servicios eran vulnerables, dijo Tenable, incluidos Azure DevOps, Azure Machine Learning, Azure Logic Apps, Azure Container Registry, Azure Load Testing, Azure API Management, Azure Data Factory y Azure. . Action Group, Azure AI Video Indexer y Azure Chaos Studio.
Por otro lado, Microsoft dice que las etiquetas de servicio de Azure nunca tuvieron la intención de ser una medida de seguridad, pitidocomputadora mencionado.
“Las etiquetas de servicio no deben tratarse como un límite de seguridad y sólo deben usarse como un mecanismo de enrutamiento junto con los controles de validación”, dijo Microsoft.
“Las etiquetas de servicio no son un medio integral para proteger el tráfico hacia el origen de un cliente y no reemplazan la validación de entrada para evitar vulnerabilidades que puedan estar asociadas con las solicitudes web”.