Tenable, Microsoft Azure’da kritik bir güvenlik açığı keşfetti. Ancak Microsoft, bu açığı yamalamayacağını duyurdu. Bu, ondan fazla Azure hizmetini etkileyen güvenlik açığının kapatılmayacağı anlamına geliyor.
Azure’daki Güvenlik Açığı
Tenable’ın Bulut Araştırma Ekibi, Azure’da yeni bir güvenlik açığı keşfetti. Bu açık, aşağıdaki Azure hizmetlerini etkiliyor:
- Azure Application Insights
- Azure DevOps
- Azure Machine Learning
- Azure Logic Apps
- Azure Container Registry
- Azure Load Testing
- Azure API Management
- Azure Data Factory
- Azure Action Group
- Azure AI Video Indexer
- Azure Chaos Studio
- Azure Service Tags and Firewall
Zafiyet, Azure Service Tags tabanlı güvenlik duvarı kurallarını atlatmaya imkan tanıyor. Bu, saldırganların güvenilir hizmetlerden gelen talepleri taklit ederek güvenlik kurallarını aşabileceği anlamına geliyor.
Ocak 2024’te Bildirildi
Tenable, 24 Ocak 2024’te Microsoft’a bildirdi. Microsoft (MSRC), 31 Ocak 2024’te bu durumu “Yetki Yükseltme” olarak sınıflandırdı ve “Önemli” bir güvenlik açığı olarak değerlendirdi.
Azure Kullanıcıları Harekete Geçmeli!
Azure müşterileri, bu güvenlik açığı nedeniyle risk altında. Microsoft, bu açığı yamalamayacağı için müşterilerin hızlıca harekete geçmesi gerekiyor. Tenable, şu adımları öneriyor:
- Azure ortamınızdaki ağ kurallarını analiz edin, hizmet etiketlerinin kullanımını kontrol edin ve etkilenen hizmetleri filtreleyin. Bu kaynakları kamuya açık olarak kabul edin.
- Bu kaynakları korumak için kimlik doğrulama ve yetkilendirme seviyeleri ekleyin.