研究人员发现MicrosoftAzure中的重大安全问题

来源:
导读 专家警告说,微软的Azure云平台存在一个高严重性的安全漏洞,可能会导致受害组织在不知不觉中在其端点上执行恶意软件。Vectra的研究人员在...

专家警告说,微软的Azure云平台存在一个高严重性的安全漏洞,可能会导致受害组织在不知不觉中在其端点上执行恶意软件。

Vectra的研究人员在最近的一篇博客文章中概述了该问题,并指出该漏洞存在于AzureLogs中,讽刺的是,该工具用于跟踪云环境中的恶意活动(除其他外)。虽然日志听起来像是Azure管理员只能读取而不是编辑的内容,但用户可以控制某些数据,例如用户ID、电子邮件地址、消息主题等。

研究人员声称,通过将恶意数据注入日志,处理这些数据的应用程序可能会被诱骗执行恶意软件。

研究写道:“例如,人们可以在帐户注册表单中提交包含XSS(跨站脚本)有效负载的虚假电子邮件地址。”“而在浏览器中打开此日志的应用程序管理员可能会成为XSS攻击的受害者。”

但还有另一种方法可以将恶意软件植入人们的设备-称为CSV注入。由于Azure日志可以作为CSV文件(逗号分隔值)下载,因此该文件可能包含程序在打开文件时执行的Excel公式。您猜对了,某些公式可能是恶意的,会强制操作系统命令执行和其他漏洞利用。报告中写道:“这可能很危险,不仅因为可以运行任意命令,还因为用户通常不知道这一点,认为CSV文件只是纯文本文件,不可能造成任何损害。”

研究人员得出结论,这些漏洞可以在未经身份验证的情况下执行,这表明攻击者不需要在云环境中拥有帐户。

好消息是,该漏洞在完全修补的Excel实例上不起作用,因此请确保您的实例是最新的。

标签:

免责声明:本文由用户上传,如有侵权请联系删除!