Azure-Schwachstelle: Microsoft zahlt Bug Bounty, liefert aber keinen Patch
Sicherheitsforscher von Tenable haben im Januar eine Schwachstelle in Microsoft Azure entdeckt, die es Angreifern ermöglicht, auf Azure-Service-Tags basierende Firewall-Regeln zu umgehen. Wie die Forscher in ihrem Bericht(öffnet im neuen Fenster) erklären, wurde die Sicherheitslücke zunächst im Dienst Azure Application Insights entdeckt. Zusammen mit Microsoft stellte Tenable jedoch fest, dass noch zehn weitere Dienste betroffen sind.
Sofern ein Kunde nicht über zusätzliche Schutzebenen verfüge, sei es Angreifern durch die Schwachstelle möglich, "auf andere interne und private Azure-Dienste zuzugreifen" , heißt es in dem Bericht. Böswillige Akteure könnten dafür im Rahmen eines SSRF-ähnlichen Angriffs Webanfragen vertrauenswürdiger Azure-Dienste fälschen und anschließend auf Ressourcen zugreifen, die zuvor unerreichbar waren.
Laut Tenable vereinfachen Azure-Service-Tags die Netzwerkisolierung innerhalb von Azure, indem sie bestimmte IP-Adressbereiche von Azure-Diensten gruppieren. Anhand der Tags lassen sich demnach Netzwerksicherheitsregeln definieren und auf Azure-Ressourcen anwenden. Im Grunde handelt es sich um eine komfortable Möglichkeit zur Verwaltung von Zugriffskontrollen wie Firewall-Regeln oder Netzwerksicherheitsgruppen.
Laut Microsoft ein erwartetes Verhalten
Auch Microsoft hat den Bericht von Tenable zur Kenntnis genommen und den Forschern sogar im Rahmen seines Bug-Bounty-Programms eine Belohnung ausgezahlt. In einem eigenen Blogbeitrag(öffnet im neuen Fenster) erklärt der Konzern jedoch, dass "die Service-Tags wie vorgesehen funktionieren" und es lediglich einer Überarbeitung der inzwischen aktualisierten Service-Dokumentation(öffnet im neuen Fenster) bedürfe, um das Verständnis der Azure-Kunden für Service-Tags und deren Funktionsweise zu verbessern.
Ein mandantenübergreifender Zugriff sei etwa nur möglich, wenn für die jeweiligen Ressourcen keine Authentifizierung verwendet werde. "Service-Tags sind nicht als Sicherheitsbarriere zu betrachten und sollten nur als Routing-Mechanismus in Verbindung mit Validierungskontrollen verwendet werden" , betont Microsoft. Ein Patch für die Lücke ist nicht zu erwarten.
Microsoft und Tenable empfehlen Azure-Kunden, ihre Verwendung von Service-Tags sowie die umgesetzten Sicherheitsmaßnahmen proaktiv zu überprüfen und ihre Ressourcen durch zusätzliche Authentifizierungs- und Autorisierungsebenen zu schützen, sofern diese noch nicht vorhanden sind. Ein Missbrauch von Service-Tags durch Dritte wurde laut Microsoft bisher nicht beobachtet.
Das Cybersicherheitsunternehmen Tenable deckte in der Vergangenheit schon häufiger Sicherheitslücken in Cloudsystemen . Im Sommer 2023 bezeichnete der Tenable-CEO Microsoft als "grob fahrlässig" , weil der Konzern eine kritische Schwachstelle in Azure AD monatelang nicht gepatcht hatte.