Check Point scopre due gravi bachi di sicurezza in Microsoft Azure

Quando gli esperti pensano a mettere in sicurezza il cloud, tendono a concentrarsi sul lato client, quindi su applicazioni vulnerabili o errori di configurazione che possono esporre dati che dovrebbero rimanere riservati. Raramente si presta attenzione all'infrastruttura cloud, forse in quanto ritenuta sicura. I ricercatori di Check Point hanno voluto cambiare approccio e si sono invece concentrati sulla solidità della piattaforma Microsoft Azure nella sua interezza, scoprendo due falle piuttosto gravi.

Dopo la segnalazione di Check Point, Microsoft corregge le falle di Azure

Azure Stack è composto da una serie di prodotti che estendono le funzionalità della piattaforma Microsoft Azure. I ricercatori di Check Point hanno scoperto che un attaccante poteva ottenere screenshot e informazioni relative all'infrastruttura cloud e ai suoi utilizzatori inviando delle richieste HTTP non autorizzate. La falla ha portato alla creazione del CVE-2019-1234: l'errore ora è stato corretto.

Più grave la seconda vulnerabilità, scoperta a giugno e segnalata nel CVE-2019-1372, che interessav Azure App, una Platform-as-a-Service che integra i siti web Microsoft Azure, i una serie di servizi, fra cui quelli mobile. Sfruttando un baco un aggressore avrebbe potuto compromettere le applicazioni, i dati e gli account creando un utente gratuito in Azure Cloud ed eseguendo tramite questa utenza funzioni Azure che gli avrebbero potuto permettere di prendere il controllo dell'intero server Azure, e di conseguenza, dell'intero codice aziendale, come descritto qui in maniera dettagliata. 

La prima falla nella sicurezza è stata comunicata a Microsoft il 19 gennaio 2019, la seconda il 27 giugno 2019. I dettagli sono stati tenuti riservati sino a gennaio, quando l'azienda ha risolto le due vulnerabilità.