Microsoft 警告：建议管理员禁止 Azure 存储帐户共享密钥访问

安全研究人员发现了 Microsoft Azure 中的一个设计缺陷。该漏洞可能使威胁行为者获得对 Azure Storage 存储账户的访问权限并完全控制环境。

据 Orca Security 的研究人员称，该设计缺陷存在于一个名为共享密钥授权的机制中。在创建 Azure Storage 帐户时默认启用共享密钥授权，而且可以轻易地被利用。

在设置 Azure 存储帐户时，Azure 会自动生成两个 512 位的存储帐户访问密钥。用于授权数据访问的访问密钥总长度为 512 位。数据访问可以通过共享密钥授权，或使用共享密钥签名的 SAS 令牌实现。

Orca Security 发现，威胁行为者可以操纵 Azure Functions 来窃取高特权身份的访问令牌。这意味着，入侵到 Storage Account Contributor 角色的黑客有可能访问敏感的业务资产，并在虚拟机上执行远程代码（RCE）。

窃取凭证和升级权限虽然听起来很可怕，但相当容易。一旦攻击者找到分配有强大托管身份的函数应用程序的存储帐户，就可以代表其运行代码，从而获得订阅权限升级（PE）。

Orca Security

微软：Azure 存储账户中的共享密钥授权是「设计缺陷」

微软安全响应中心调查了这个问题，并得出结论：这是一个设计缺陷而不是安全问题。Microsoft 建议 IT 管理员应该禁用 Azure 共享密钥授权，并改用 Azure Active Directory 身份验证。

Microsoft 还计划默认禁用新 Azure Storage 账户的共享访问签名授权。然而，目前还没有关于此更新的时间表信息。同时，建议 IT 管理员了解有关如何为 Azure 存储账户使用基于身份验证授权的更多信息。