Tenable, la empresa de gestión de exposición, ha revelado que su equipo Tenable Cloud Research ha descubierto una vulnerabilidad de alta severidad en Azure que afecta a más de diez servicios de esta marca, incluso Azure Application Insights, Azure DevOps, Azure Machine Learning, Azure API Management y Azure Logic Apps. Microsoft no planea emitir un parche para esta vulnerabilidad; en lugar de ello, ha creado documentación centralizada para informar a los clientes acerca de los patrones de uso para las etiquetas de servicio.
La vulnerabilidad permite que un atacante malicioso esquive las reglas del firewall basadas en las etiquetas de servicio Azure mediante la falsificación de solicitudes desde servicios confiables. Un actor de amenazas podría explotar las etiquetas de servicio que se han permitido a través del firewall si no existen controles adicionales de validación. Al explotar esta vulnerabilidad, un atacante podría obtener acceso al servicio Azure de una organización y a otros servicios Azure internos y privados.
“Esta vulnerabilidad permite que un atacante controle solicitudes falsificadas del lado del servidor, fingiendo ser un servicio Azure confiable”, explica Liv Matan, ingeniero senior de investigación de Tenable. “Recomendamos enfáticamente que los clientes tomen acciones inmediatas. Al asegurar que se mantenga una fuerte autenticación en la red, los usuarios pueden defenderse con una capa adicional y crucial de seguridad.”
Los clientes de Azure cuyas reglas de firewall dependen de las etiquetas de servicio Azure para seguridad están en riesgo por esta vulnerabilidad y deben tomar acciones inmediatas para mitigar el problema y asegurarse de estar protegidos por capas de autenticación y autorización.
Más información, incluyendo los descubrimientos técnicos del equipo y la prueba de concepto, se ha publicado en el blog de Tenable y en asesoría técnica.
