四款微软Azure服务存在漏洞，可导致云资源遭越权访问
编译：代码卫士
四款不同的微软 Azure服务易受服务器端请求伪造 (SSRF) 攻击，可使攻击者获得对云资源的越权访问权限。
这些漏洞是由Orca公司在2022年10月8日至2022年12月2日在Azure API Management、Azure Functions、Azure Machine Learning 和 Azure Digital Twins 中发现的，目前已修复。
Orca 公司的研究员 Lidor Ben Shitrit 在报告中指出，“这些Azure SSRF漏洞可使攻击者扫描本地端口，查找新服务、端点和敏感文件，获得可能易受攻击服务器和服务中的有价值信息，从而获得初始入口点和敏感信息的位置。”
Azure Functions 和 Azure Digital Twins 中的两个漏洞可在无需任何认证的情况下遭滥用，甚至在无需拥有Azure账号的情况下，攻击者就能够控制服务器。SSRF攻击可使攻击者读取或更新内部资源，甚至跳转到网络的其它部分，攻陷无法触及的系统，提取有价值的数据。
三个漏洞的严重性为“重要”，而影响Azure Machine Learning 的SSRF漏洞为低危级别。所有这些弱点可被用于操纵服务器，从而发动更多攻击。
这四个漏洞的简要说明如下：
Azure Digital Twins Explorer 中存在未认证的SSRF漏洞，可被用于从任何后缀为 “blob.core.windows[.]net” 的服务中获得响应。
Azure Functions 中存在未认证的SSRF漏洞，可用于枚举本地端口并访问内部端点。
Azure API Management 服务中存在认证的SSRF漏洞，可被用于列出内部端口，包括和源代码管理服务相关联的端口，从而访问敏感信息。
Azure Machine Learning 服务中存在认证的SSRF漏洞，可被用于从任意端点提取内容。
建议组织机构验证所有的输入，确保服务器被配置为仅允许进站和出站流量，避免配置不当并遵循最小权限原则，以缓解这些漏洞。
Ben Shitrit 表示，“这些发现最引人瞩目的地方在于，仅投入最少的精力就发现如此多的SSRF漏洞，这说明这些漏洞是多么普遍以及它们对云环境造成多么大的风险。”
微软Azure SFX漏洞可导致Service Fabric集群遭劫持
微软 Azure FabricScape 漏洞可被用于劫持 Linux 集群
价值4万美元的微软Azure漏洞 ExtraReplica，没有CVE编号
200多个恶意NPM程序包针对Azure 开发人员，发动供应链攻击
https://thehackernews.com/2023/01/microsoft-azure-services-flaws-couldve.html
题图：Pexels License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。