sImplePerson
Member
-
23/03/2020
-
11
-
28 bài viết
Phát hiện lỗ hổng an ninh 4 năm tuổi trong dịch vụ ứng dụng Azure
Một lỗ hổng an ninh đã được phát hiện trong dịch vụ ứng dụng Azure của Microsoft dẫn đến việc lộ mã nguồn của các ứng dụng khách hàng được viết bằng Java, Node, PHP, Python và Ruby trong ít nhất bốn năm (từ tháng 9 năm 2017).
Lỗ hổng có tên "NotLegit" đã được các nhà nghiên cứu Wiz báo cáo cho Microsoft vào ngày 7 tháng 10 năm 2021. Sau đó gã khổng lồ Microsoft đã có các biện pháp khắc phục để vá lỗi và công bố vào tháng 11. Microsoft cho biết: "một nhóm nhỏ khách hàng đang gặp rủi ro", đồng thời cho biết thêm "Những khách hàng đã triển khai mã cho App Service Linux thông qua Local Git sau khi tệp đã được tạo trong ứng dụng là những khách hàng duy nhất bị ảnh hưởng bởi lỗ hổng".
Các ứng dụng dịch vụ Azure (Azure Web Apps) là một nền tảng cloud computing-based để xây dựng và lưu trữ các ứng dụng web. Ứng dụng cho phép người dùng triển khai mã nguồn và tạo tác cho dịch vụ bằng cách sử dụng kho lưu trữ Git cục bộ hoặc thông qua các kho lưu trữ trên GitHub và Bitbucket.
Lỗ hổng bị khai thác khi phương thức Git cục bộ được sử dụng để triển khai Dịch vụ ứng dụng Azure, dẫn đến tình huống trong đó kho lưu trữ Git được tạo trong một thư mục có thể truy cập công khai (home/site/wwwroot).
Các nhà phát triển của Microsoft đã thực hiện vá lỗ hổng bằng cách thêm tệp "web.config" vào thư mục .git - chứa trạng thái và lịch sử của kho lưu trữ - để hạn chế quyền truy cập công khai, các tệp cấu hình chỉ được sử dụng với các ứng dụng C# hoặc ASP.NET dựa trên chính Microsoft Web Server IIS, loại bỏ các ứng dụng được mã hóa bằng các ngôn ngữ lập trình khác như PHP, Ruby, Python hoặc Node được triển khai với các máy chủ web khác nhau như Apache, Nginx và Flask.
“Về cơ bản, kẻ tấn công chỉ cần tìm thư mục '/.git' từ ứng dụng đích và truy xuất mã nguồn”. Nhà nghiên cứu Shir Tamari của Wiz cho biết thêm: "Những kẻ tấn công liên tục rà quét trên Internet để tìm các thư mục Git bị lộ và từ đó có thể thu thập các thông tin bí mật, source code... Từ đó phục vụ cho các cuộc tấn công tinh vi hơn".
Lỗ hổng có tên "NotLegit" đã được các nhà nghiên cứu Wiz báo cáo cho Microsoft vào ngày 7 tháng 10 năm 2021. Sau đó gã khổng lồ Microsoft đã có các biện pháp khắc phục để vá lỗi và công bố vào tháng 11. Microsoft cho biết: "một nhóm nhỏ khách hàng đang gặp rủi ro", đồng thời cho biết thêm "Những khách hàng đã triển khai mã cho App Service Linux thông qua Local Git sau khi tệp đã được tạo trong ứng dụng là những khách hàng duy nhất bị ảnh hưởng bởi lỗ hổng".
Các ứng dụng dịch vụ Azure (Azure Web Apps) là một nền tảng cloud computing-based để xây dựng và lưu trữ các ứng dụng web. Ứng dụng cho phép người dùng triển khai mã nguồn và tạo tác cho dịch vụ bằng cách sử dụng kho lưu trữ Git cục bộ hoặc thông qua các kho lưu trữ trên GitHub và Bitbucket.
Lỗ hổng bị khai thác khi phương thức Git cục bộ được sử dụng để triển khai Dịch vụ ứng dụng Azure, dẫn đến tình huống trong đó kho lưu trữ Git được tạo trong một thư mục có thể truy cập công khai (home/site/wwwroot).
Các nhà phát triển của Microsoft đã thực hiện vá lỗ hổng bằng cách thêm tệp "web.config" vào thư mục .git - chứa trạng thái và lịch sử của kho lưu trữ - để hạn chế quyền truy cập công khai, các tệp cấu hình chỉ được sử dụng với các ứng dụng C# hoặc ASP.NET dựa trên chính Microsoft Web Server IIS, loại bỏ các ứng dụng được mã hóa bằng các ngôn ngữ lập trình khác như PHP, Ruby, Python hoặc Node được triển khai với các máy chủ web khác nhau như Apache, Nginx và Flask.
“Về cơ bản, kẻ tấn công chỉ cần tìm thư mục '/.git' từ ứng dụng đích và truy xuất mã nguồn”. Nhà nghiên cứu Shir Tamari của Wiz cho biết thêm: "Những kẻ tấn công liên tục rà quét trên Internet để tìm các thư mục Git bị lộ và từ đó có thể thu thập các thông tin bí mật, source code... Từ đó phục vụ cho các cuộc tấn công tinh vi hơn".
Theo: thehackernews
Chỉnh sửa lần cuối bởi người điều hành: