Уязвимости в Microsoft Azure позволяли захватывать контроль над облачными серверами

Исследователи компании Check Point раскрыли подробности о двух, теперь уже исправленных, уязвимостях в сервисах Microsoft Azure. Эксплуатация уязвимостей позволила бы злоумышленникам атаковать компании, использующие для бизнеса мобильные и web-приложения на Azure.

Microsoft Azure является полностью управляемым интегрируемым сервисом, позволяющим создавать мобильные и web-приложения для любых платформ и устройств и с легкостью интегрировать их с SaaS-решениями или локальными приложениями для автоматизации бизнес-процессов.

Первая уязвимость (CVE-2019-1234) позволяет осуществлять спуфинг запросов и затрагивает программное решение Microsoft Azure Stack для гибридных и облачных вычислений. С ее помощью неавторизованный злоумышленник может удаленно получить доступ к скриншотам и конфиденциальной информации о любой виртуальной машине, запущенной в среде Azure. При этом не имеет значения, является ли виртуальная машина общей, специально предназначенной или изолированной.

Проэксплуатировав уязвимость, исследователи смогли узнать имя и ID виртуальной машины, а также информацию об аппаратном обеспечении компьютера (в частности о ядрах) и объеме памяти. С помощью этих данных вместе с другими неавторизованными HTTP-запросами им также удалось сделать скриншоты виртуальных машин.

Вторая уязвимость (CVE-2019-1372) позволяет удаленно выполнить произвольный код и получить контроль над целым сервером Azure. Проблема затрагивает Azure App Service на Azure Stack.

Злоумышленник может проэксплуатировать обе уязвимости, создав в Azure Cloud бесплатную учетную запись пользователя и использовав в ней вредоносные функции или отправив неавторизованный HTTP-запрос пользовательскому порталу Azure Stack.

Обнаруживший уязвимости исследователь Check Point Ронен Шустин (Ronen Shustin) в установленном порядке сообщил о них Microsoft и получил от компании вознаграждение в размере $40 тыс. в рамках программы bug bounty. Обе уязвимости были исправлены производителем в конце прошлого года.