Microsoft, kötü amaçlı kullanıcıların ayrıcalıkları artırmasına ve kimlik doğrulamasını atladıktan sonra diğer müşterilerin veritabanlarına erişmesine izin verebilecek Azure veritabanında bulunan bir kritik güvenlik açıkları zincirini ele aldı.
PostgreSQL için Azure Veritabanı için Esnek Sunucu Dağıtım seçeneği, müşterilere ince taneli tunning ve çoklu yapılandırma parametreleri dahil olmak üzere veritabanları üzerinde mümkün olan maksimum kontrolü sağlar.
Microsoft Güvenlik Yanıt Merkezi ekibi bugün açıklanan "Bir çoğaltma kullanıcısı için esnek sunucu kimlik doğrulama işleminde yüksek izin hatası hatasından yararlanarak, kötü amaçlı bir kullanıcı, diğer müşterilerin veritabanlarına erişim sağlamak için uygunsuz bir şekilde sabit bir şekilde düzenli bir ifadeden yararlanabilir."
"Bu, 48 saat içinde (13 Ocak 2022'de) hafifletildi. [..] Özel Erişim Ağı seçeneğini kullanan müşteriler bu güvenlik açığına maruz kalmadı. Postgres'in tek sunucu teklifi etkilenmedi."
Microsoft, esnek sunucu PostgreSQL hizmetinde bir uzaktan kod yürütme kusurunu ve bir ayrıcalık artış hatasını ele almak için 25 Şubat 2022 yılına kadar tüm esnek sunuculara düzeltmeler dağıttı.
Güvenlik hatalarını keşfeden bulut güvenlik firması Wiz'in araştırma ekibi, toplu olarak onları Extrareplica olarak adlandırdı ve 11 Ocak 2022'de Microsoft'a açıkladı.
Microsoft tarafından açıklandığı gibi, WIZ araştırmacıları, sahte ayrıcalıklar ve uzaktan kod yürütme kazanmak için aşağıdaki adımlardan geçti ve bu da sahte bir sertifika kullanarak çapraz hesap kimlik doğrulamasını atlamalarına ve diğer müşterilerin veritabanlarına erişmelerine izin verdi:
Microsoft, uygulanmadan önce etkilenen esnek sunucuları kullanan Azure müşterilerinin hiçbirinin herhangi bir şekilde etkilenmediğini ve ekstrareplica güvenlik açığı zincirinden yararlanarak yetkilendirilmeden hiçbir müşteri verisine erişilmediğini söylüyor.
Şirket, savunmasız tüm veritabanı sunucularındaki güvenlik kusurlarını zaten ele aldığından, müşterilerin verilerini korumak için herhangi bir önlem almaları gerekmez.
Ancak Microsoft, özel ve güvenli ağ iletişimi sağlayan Azure Sanal Ağları'na (VNET) PostgreSQL esnek sunucularının dağıtılmasını önerir.
Redmond, "Maruz kalmayı daha da en aza indirmek için, müşterilerin esnek sunucu örneklerini oluştururken özel ağ erişimini etkinleştirmelerini öneriyoruz."
Wiz araştırma ekibi, "Diğer bulut güvenlik açıklarında olduğu gibi, bu sorun bir CVE tanımlayıcısı almadı (yazılım güvenlik açıklarının aksine). Herhangi bir veritabanında kaydedilmedi veya belgelenmedi."
"Böyle bir veritabanının olmaması, müşterilerin bulut güvenlik açıklarını izleme, izleme ve yanıtlama yeteneğini bozar."
Geçen yıl, Wiz Araştırma Ekibi ayrıca, hizmet olarak büyük DNS (DNSAAS) sağlayıcılarını etkileyen ve saldırganların "ulus-devlet seviyesi baharat" olarak tanımladıkları kurumsal ağlardan hassas bilgilere erişmelerine izin veren yeni bir DNS güvenlik açıklığı sınıfı açıkladı. kampanyalar.
Araştırmacılar ayrıca Microsoft Azure ürünlerinde Azure Cosmos DB, Açık Yönetim Altyapısı (OMI) yazılım aracısı ve Azure Uygulama Hizmeti de dahil olmak üzere birkaç güvenlik kusuru buldular.
Microsoft, müşteri verilerini ortaya çıkaran kritik Azure hatasını düzeltir
Microsoft'un Azure SDK sitesi sahte paketi listelemek için kandırıldı
Bu sertifika hazırlık paketiyle Microsoft Azure Becerilerinizi geliştirin
Microsoft, 'Tarihte Raporlanan Şimdiye Kadarki En Büyük DDOS saldırısını azaltıyor
Kritik Windows RPC CVE-2022-26809 Kusur Endişeleri Yetiştiriyor-Şimdi Yama
Kaynak: Bleeping Computer