Как выяснили эксперты компании Wiz, обнаружившие уязвимость, выявленная проблема позволяла эксплуатировать целую комбинацию багов во встроенной в Azure среде разработки Jupyter Notebook, позволяющей редактировать код и видеть результат его выполнения. Эксперты отметили, что уязвимость очень проста в эксплуатации и не требует предварительного доступа к целевым средам. Количество потенциальных жертв может исчисляться тысячами. Информация от Wiz была передана в Microsoft 12 августа 2021 г. В течение последующих 48 часов возможность эксплуатации уязвимости была нейтрализована. 26 августа компания проинформировала около трети пользователей Cosmos DB об уязвимости. Информации о попытках практической эксплуатации бага злоумышленниками на данный момент нет. Корпорация Microsoft выплатила экспертам Wiz вознаграждение в размере $45 тыс. Пользователям Azure в Microsoft рекомендовали перевыпустить свои первичные ключи, а также принять ряд дополнительных мер для обеспечения защиты. Среди них — регулярный перевыпуск первичных и вторичных ключей, использование собственного файерволла и виртуальной сети Cosmos DB для контроля доступа к ресурсам, системы разграничения ролей RBAC для авторизации в Azure Active Directory, и т.д. Также рекомендовано проверить логи активности в аккаунтах Cosmos DB для выявления возможных попыток эксплуатации уязвимости.
г. Санкт-Петербург,
Выборгское шоссе, д. 34, Литера А.
+7 (812) 633-01-60
г. Санкт-Петербург,
Выборгское шоссе, д. 34, Литера А.
+7 (812) 633-01-60