微软Azure新漏洞可导致RCE,研究员获3万美元奖励

admin 2023年1月21日09:52:28安全新闻评论10 views1216字阅读4分3秒阅读模式

微软Azure新漏洞可导致RCE,研究员获3万美元奖励 聚焦源代码安全,网罗国内外最新资讯!

编译:代码卫士



和微软Azure关联的多款服务中存在一个严重的远程代码 (RCE) 漏洞,可被恶意人员用于完全控制目标应用。


发现该漏洞的Ermetic 公司的研究员 Liv Matan 在报告中提到,“该漏洞是通过SCM服务Kudu 上的跨站请求伪造 (CSRF) 实现的。通过利用该漏洞,攻击者可将包含 payload的恶意ZIP文件部署到受害者的Azure应用上。”

Ermetic公司将该漏洞命名为 “EmojiDeploy”,它还可导致敏感信息被盗并横向移动到其它Azure服务。

微软在2022年10月26日收到漏洞报告后已在12月6日将其修复,并颁发3万美元的奖励。微软将Kudu描述为“与基于源控制的部署有关的以及和其它部署方法如Dropbox和OneDrive 同步的Azure App Service多个特性背后的引擎”。

在由Ermetic 部署的假设性攻击链中,攻击者可利用位于Kudu SCM面板中的CSRF漏洞绕过保护措施,通过向 “/api/zipdeploy”端点发布特殊构造请求的方式发动同源攻击,传播恶意文档并获得远程访问权限。

跨站点请求伪造即攻击者诱骗web应用程序的认证用户执行越权命令。该ZIP文件在HTTP请求的主体中编码,使得受害者应用导航至受攻击者控制的域名,而该域名绕过服务器的同源策略托管恶意软件。

研究人员指出,“该漏洞对组织机构的影响取决于应用管理身份的权限。应用最低权限原则可大大限制其影响范围。”

就在几天前,Orca Security 公司发布了服务器端请求伪造攻击的四个实例,这些攻击影响Azure API Management、Azure Functions、Azure Machine Learning 和 Azure Digital Twins。


代码卫士试用地址:https://codesafe.qianxin.com
开源卫士试用地址:https://oss.qianxin.com









推荐阅读

奥利地公司利用Windows 和 Adobe 0day 攻击欧洲和中美洲实体

Adobe 修复Commerce 和 Magento 平台中的又一个严重RCE

十多年前的 Adobe ColdFusion 漏洞被用于勒索攻击

Adobe 修复严重的 Photoshop 缺陷

黑客在野利用 Adobe Reader 0day 漏洞



原文链接

https://thehackernews.com/2023/01/new-microsoft-azure-vulnerability.html


题图:Pixabay License



本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。




微软Azure新漏洞可导致RCE,研究员获3万美元奖励
微软Azure新漏洞可导致RCE,研究员获3万美元奖励

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

   微软Azure新漏洞可导致RCE,研究员获3万美元奖励 觉得不错,就点个 “在看” 或 "” 吧~

原文始发于微信公众号(代码卫士):微软Azure新漏洞可导致RCE,研究员获3万美元奖励

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年1月21日09:52:28
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  微软Azure新漏洞可导致RCE,研究员获3万美元奖励 https://cn-sec.com/archives/1523206.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: