Cercetătorii Binary Security au descoperit vulnerabilități critice în serviciul Microsoft Azure API Management care permit atacatorilor cu permisiuni simple de Reader să obțină control administrativ complet asupra serviciului.
TL;DR
- Vulnerabilități critice identificate în Microsoft Azure API Management
- Atacatorii pot accesa controlul administrativ prin exploatarea versiunilor vechi de API
- Token-urile SSO pot fi generate prin endpoint-urile API depășite
- Microsoft a remediat parțial problemele, dar unele vulnerabilități rămân încă exploatabile
- Organizațiile sunt sfătuite să implementeze măsuri de securitate suplimentare
Vulnerabilități critice în Microsoft Azure API Management
Cercetătorii au descoperit că atacatorii pot exploata versiunile vechi ale API-ului pentru a obține token-uri de acces administrativ. Aceste vulnerabilități permit obținerea de token-uri pentru Single Sign-On, oferind atacatorilor privilegii administrative complete la API-ul de management, permițând astfel modificări neautorizate.
Răspunsul Microsoft și acțiuni recomandate
Deși Microsoft a abordat o parte din aceste probleme, multe vulnerabilități rămân exploatabile. Compania plănuiește să dezactiveze API-urile vechi până în iunie 2024, dar implementările noi APIM permit încă aceste API-uri vulnerabile.
Recomandări de securitate
Binary Security sugerează:
- Restricționarea accesului la nivel de rețea la interfețele de management
- Implementarea VNET-urilor, gazdelor intermediare și a adreselor IP dedicate CI/CD
- Dezactivarea imediată a API-urilor vechi în serviciile APIM
- Configurarea setărilor Management API pentru a preveni utilizarea versiunilor mai vechi de API
Cum să vă protejați de vulnerabilitățile viitoare
Pentru a evita probleme similare în viitor, este recomandabil ca organizațiile să efectueze evaluări periodice de securitate și să țină pasul cu actualizările de securitate furnizate de furnizorii de software. Menținerea unor practici bune de securitate IT este esențială pentru a preveni exploatarea vulnerabilităților cunoscute și necunoscute.
Sursa articolului:
Pe Threat Spotting apar articole identificate de specialiști în securitate cibernetică și simplificate prin inteligență artificială (AI). De aceea, e bine să consultați sursele oficiale întrucât tehnologiile AI curente pot genera informații incomplete sau parțial adevărate. Citește mai multe despre proiect aici.
