微软Azure SFX漏洞可导致Service Fabric集群遭劫持

攻击者可利用Service Fabric Explorer 中的一个欺骗漏洞获得管理员权限并劫持 Azure Service Fabric 集群。该漏洞已修复。

Service Fabric 是一款业务关键应用平台，托管超过100万款应用并支持很多课微软产品，包括但不限于Microsoft Intune、Dynamics 365、企业版Skype、Cortana、Microsoft Power BI 和多个核心Azure 服务。

Service Fabric Explorer (SFX) 是一款开源工具，可用作托管解决方案或桌面应用，可使Azure管理员管理并检测Azure Service Fabric 集群中的节点和云应用。

Orca Security 公司的研究人员从SFX中发现了一个欺骗漏洞（CVE-2022-35829）并将其命名为 FabriXss，可导致潜在攻击者获得完整的管理员权限并接管Service Fabric 集群。

Orca Security 公司解释称，“我们发现通过仪表盘以单一权限‘创建新应用’的Deployer 类型用户，能够通过这种单一权限创建一个恶意的应用名称并滥用管理员权限，执行多种调用和操作。它包括执行Cluster Node 重置，擦除所有自定义设置如民吗和安全配置，从而导致攻击者创建新密码并获得完整的管理员权限。”

未遭在野利用

Orca Security 公司于今年8月11日将该漏洞告知微软，后者在十月补丁星期二中将其修复。

微软表示，FabriXss exploit 金科用于攻击Service Fabric Explorer 的老旧且不受支持的版本，当前的默认版本SFX web 客户端 (SFXv2) 并不受影响。

微软指出，“然而，客户可手动从默认的web 客户端版本SFXv2切换到老旧的易受攻击的版本 SFXv1。该漏洞要求攻击者已在Service Fabric 集群中部署代码和执行权限，使目标使用易受攻击的SFXv1版本。”

虽然微软并未发现证据表明FabriXss已遭利用，但仍建议所有Service Fabric 客户更新至最新的SFX版本，而不是切换到易受攻击的版本。微软表示，未来的Service Fabric 发布也将删除SFXv1版本以及切换选择。

6月份，微软还修复了一个Service Fabric容器逃逸漏洞FabricScape，它可导致威胁行动者将权限提升至root并控制主机节点，攻陷整个SF Linux 集群。