Check Point: злоумышленники могли получить контроль над серверами в Azure

Исследователи Check Point Research выявили две уязвимости Microsoft Azure, одного из ведущих поставщиков облачных вычислений в мире. Исследователи обнаружили, что пользователи в сети Azure могли получить контроль над всем сервером, что могло привести к краже или изменению кода бизнес-приложений организаций.

Первый недостаток безопасности был обнаружен в Azure Stack. Уязвимость Azure Stack позволяла хакеру получить скриншоты и конфиденциальную информацию о машинах, работающих на Azure. Вторую уязвимость обнаружили в службе приложений Azure App Service. Недостаток безопасности позволял хакерам получить контроль над всем сервером Azure и, следовательно, получить контроль над кодом бизнес-приложений организаций.

Azure Stack – это программное решение для облачных вычислений, разработанное корпорацией Microsoft, которое помогает предприятиям предоставлять службы Azure из собственного центра обработки данных. Microsoft создала Azure Stack, чтобы помочь организациям использовать гибридные облачные вычисления на их собственных условиях, используя возможности облака. При этом компании могут учитывать различные технические и бизнес факторы, такие как нормативные требования, суверенность данных, настройки и задержка данных.

Исследователям Check Point удалось получить снимки экрана и конфиденциальную информацию о клиентах Azure и машинах инфраструктуры. Эта уязвимость позволила бы хакеру получить конфиденциальную информацию о любом предприятии, на котором оно работает в Azure. Чтобы это сделать, злоумышленнику необходимо было сначала получить доступ к порталу Azure Stack, что позволяет отправлять неаутентифицированные HTTP-запросы, содержащие снимки экрана и информацию об арендаторах и машинах инфраструктуры.

Служба приложений Azure – это полностью управляемая «Платформа как услуга» (Platform as a Service, PaaS), которая объединяет веб-сайты Microsoft Azure, мобильные и другие услуги в единую службу. Такая служба дает новые возможности, которые обеспечивают интеграцию с локальными или облачными системами.

Служба приложений Azure обеспечивает – предоставление и развертывание мобильных и веб-приложений, создание приложений для iOS, Android и Windows, автоматизация бизнес-процессов с помощью визуального проектирования и интеграция с приложениями «Программное обеспечение как услуга» (Software as a Service, SaaS), такими как Salesforce, Marketo и DropBox.

Исследователи из Check Point доказали, что хакеры могли скомпрометировать приложения, данные и учетные записи клиента, создав бесплатного пользователя в облаке Azure и воспользовавшись уязвимыми местами Azure.

Компания Check Point сообщила об обнаруженных уязвимостях Microsoft. Первая уязвимость была найдена еще 19 января 2019 г., после чего Microsoft выпустила обновление безопасности CVE-2019-1234. Вторую уязвимость раскрыли 27 июня 2019 г., тогда Microsoft обновил защиту от CVE-2019-1372. Патчи для обеих уязвимостей в Azure были выпущены в конце 2019 г.