系统极客一直在努力
专注操作系统及软件使用技能

Microsoft 警告:建议管理员禁止 Azure 存储帐户共享密钥访问

Microsoft Azure

安全研究人员发现了 Microsoft Azure 中的一个设计缺陷。该漏洞可能使威胁行为者获得对 Azure Storage 存储账户的访问权限并完全控制环境。

据 Orca Security 的研究人员称,该设计缺陷存在于一个名为共享密钥授权的机制中。在创建 Azure Storage 帐户时默认启用共享密钥授权,而且可以轻易地被利用。

在设置 Azure 存储帐户时,Azure 会自动生成两个 512 位的存储帐户访问密钥。用于授权数据访问的访问密钥总长度为 512 位。数据访问可以通过共享密钥授权,或使用共享密钥签名的 SAS 令牌实现。

Orca Security 发现,威胁行为者可以操纵 Azure Functions 来窃取高特权身份的访问令牌。这意味着,入侵到 Storage Account Contributor 角色的黑客有可能访问敏感的业务资产,并在虚拟机上执行远程代码(RCE)。

窃取凭证和升级权限虽然听起来很可怕,但相当容易。一旦攻击者找到分配有强大托管身份的函数应用程序的存储帐户,就可以代表其运行代码,从而获得订阅权限升级(PE)。

Orca Security
Azure 存储账户密钥的利用路径
Azure 存储账户密钥的利用路径

微软:Azure 存储账户中的共享密钥授权是「设计缺陷」

微软安全响应中心调查了这个问题,并得出结论:这是一个设计缺陷而不是安全问题。Microsoft 建议 IT 管理员应该禁用 Azure 共享密钥授权,并改用 Azure Active Directory 身份验证。

Microsoft 还计划默认禁用新 Azure Storage 账户的共享访问签名授权。然而,目前还没有关于此更新的时间表信息。同时,建议 IT 管理员了解有关如何为 Azure 存储账户使用基于身份验证授权的更多信息

赞(0) 赞赏

评论 抢沙发

微信赞赏