Phát hiện lỗ hổng trong dịch vụ đám mây Azure của Microsoft

[WhiteHat News #ID:3333]

Khi các tổ chức doanh nghiệp sử dụng dịch vụ đám mây càng nhiều thì việc đảm bảo an ninh cho hệ thống trở nên quan trọng hơn lúc nào hết. Mới đây, theo một nghiên cứu, hai lỗi bảo mật trong Dịch vụ ứng dụng Azure của Microsoft có thể đã cho phép kẻ xấu thực hiện các cuộc tấn công yêu cầu giả mạo từ phía máy chủ (SSRF) hoặc thực thi mã tùy ý và chiếm máy chủ quản trị.
“Cuộc tấn công này cho phép hacker âm thầm chiếm đoạt máy chủ git của Azure hoặc chèn các trang lừa đảo độc hại, có thể truy cập thông qua Cổng Azure để nhắm mục tiêu vào các quản trị viên hệ thống", trích báo cáo được công bố.
Được phát hiện bởi Paul Litvak của Intezer Labs, các lỗ hổng đã được báo cho Microsoft vào tháng 6, sau đó công ty đã khắc phục lỗi này.

Azure App Service là một nền tảng dựa trên điện toán đám mây được sử dụng như một dịch vụ web lưu trữ để xây dựng các ứng dụng web và mobile backend.
Khi một Dịch vụ App được tạo qua Azure, một môi trường Docker mới sẽ được tạo với hai nút vùng chứa - nút người quản lý và nút ứng dụng – kết hợp với việc đăng ký hai tên miền trỏ đến máy chủ web HTTP của ứng dụng và trang quản trị của dịch vụ, đẩy Kudu (Bộ phần mềm quản trị Website từ Azure) triển khai ứng dụng liên tục từ các nguồn như GitHub hoặc Bitbucket.
Tương tự như vậy, việc triển khai Azure trên môi trường Linux được quản lý bởi một dịch vụ gọi là KuduLite, cung cấp thông tin chẩn đoán về hệ thống và bao gồm một giao diện web để SSH vào nút ứng dụng (được gọi là "webssh").
Lỗ hổng đầu tiên là một lỗ hổng leo thang đặc quyền cho phép tiếp quản KuduLite thông qua thông tin đăng nhập được mã hóa cứng ("root: Docker!") qua đó cho phép hacker kiểm soát hoàn toàn máy chủ web SCM (hay còn gọi là Quản lý cấu hình phần mềm).
Theo các nhà nghiên cứu, điều này có thể cho phép kẻ xấu "lắng nghe các truy vấn HTTP của người dùng được gửi đến trang web SCM, thêm các trang của chúng và đưa Javascript độc hại vào trang web của người dùng”.
Lỗ hổng bảo mật thứ hai liên quan đến cách nút ứng dụng gửi yêu cầu đến API KuduLite, có khả năng cho phép ứng dụng web có lỗ hổng SSRF truy cập vào hệ thống tệp và ăn cắp mã nguồn cũng như các thông tin nhạy cảm khác.
Các nhà nghiên cứu cho biết: “Kẻ tấn công có thể giả mạo yêu cầu POST để thực hiện mã từ xa trên nút ứng dụng thông qua lệnh API”.
Hơn nữa, việc khai thác thành công lỗ hổng thứ hai cho thấy kẻ tấn công có thể xâu chuỗi hai vấn đề để tận dụng lỗ hổng SSRF và nâng cao đặc quyền của chúng để chiếm lấy instance máy chủ web KuduLite.

Intezer cho biết: “Đám mây cho phép các nhà phát triển xây dựng và triển khai các ứng dụng với tốc độ cao và linh hoạt, tuy nhiên lại thường dễ bị tấn công bởi các lỗ hổng ngoài tầm kiểm soát”. "Trong trường hợp Dịch vụ ứng dụng, các ứng dụng cùng được lưu trữ với một vùng chứa quản trị bổ sung và các thành phần bổ sung có thể mang thêm các mối đe dọa".

Theo: The Hacker News​