Zugriff auf fremde Azure-Instanzen war für einige Tage möglich

Zugriff auf fremde Azure-Instanzen war für einige Tage möglich

Zugriff auf fremde Azure-Instanzen war für einige Tage möglich

(Quelle: Orca Security)
8. März 2022 - Über den Microsoft Azure Automation Service konnte Ende 2021 auf die Azure-Accounts anderer Kunden zugegriffen werden. Die Lücke ist geschlossen und wurde gemäss Microsoft nicht aktiv ausgenutzt.
Microsoft hat eine kritische Sicherheitslücke namens Auto Warp geschlossen, die es erlaubte, auf Azure-Accounts fremder Unternehmen zuzugreifen. Entdeckt wurde die Lücke von Sicherheitsforschern von Orca Security im Dezember 2021, betroffen waren neben einem global agierenden Telco einige weitere Grossunternehmen aus dem Automobil-, Banking- und Industriesektor.

Der Fehler fand sich im Microsoft Azure Automation Service, mit dem Automatisierungs-Code in Sandboxes ausgeführt wird. Das Problem war, dass die Orca-Forscher auch auf die Sandboxen anderen Kunden zugreifen und an Authentifikations-Tokens anderer Unternehmen gelangen konnten. Wie der zuständige Sicherheitsexperte im Orca-Blog schreibt, habe Microsoft sehr schnell reagiert – nur drei Tage nach Meldung der Lücke wurde der Fix implementiert. Damit sollte die Nutzung des Azure Automation Service nun wieder sicher sein.

Unlängst veröffentlichte Microsoft eine kurze Offenlegung des Falls und bedankte sich beim Entdecker des Fehlers. Laut den Ausführungen wurden die Lücke noch nicht aktiv ausgenutzt. An dieser Stelle gibt es ausserdem weiterführende Sicherheitsanweisungen und Best Practices von Microsoft im Umgang mit dem Azure Automation Service. (win)

Neuen Kommentar erfassen

Anti-Spam-Frage Wieviele Zwerge traf Schneewittchen im Wald?
Antwort
Name
E-Mail
GOLD SPONSOREN
SPONSOREN & PARTNER