Изследователи са открили уязвимост в платформата Azure на Microsoft, която

Изследователи са разкрили накърнимост в платформата Azure на Microsoft, която разрешава на потребителите да получат достъп до персонални данни от приложения на Office 365 като Outlook, Teams и OneDrive

Емил Василев преди 9 секунди 5 Сподели

Най-четени

АвтомобилиДаниел Десподов - 11:09 | 27.03.2023

„ Това е безспорна изненада за всички нас “ – правосъдни реализатори започнаха да разказват и запорират имуществото на съветския цех Volkswagen

IT НовиниЕмил Василев - 20:10 | 27.03.2023

Производител на муниции в Норвегия не може да работи, тъй като център за данни на TikTok наоколо употребява цялото електричество

КриптовалутиВелимир Кръстев - 16:00 | 28.03.2023

Около $850 милиона са били изтеглени от Binance часове преди новината за делото

Емил Василевhttps://www.kaldata.com/

По-рано тази година беше открита рискова накърнимост в търсачката Bing на Microsoft, която позволяваше на потребителите да трансформират резултатите от търсенето и да получават достъп до персонална информация на други консуматори на Bing от приложения като Teams, Outlook и Office 365. Още през януари откриватели по сигурността от Wiz откриха неправилна настройка в Azure – платформата за калкулации в облак на Microsoft, която компрометира Bing, позволявайки на всеки консуматор на Azure да получи достъп до приложения без позволение.

Уязвимостта беше открита в услугата за ръководство на идентичността и достъпа Azure Active Directory (AAD). Приложенията, употребяващи разрешенията на платформата са налични за всеки консуматор на Azure, което постанова разработчиците да удостоверяват кои консуматори могат да имат достъп до техните приложения. Тази отговорност не всеки път е ясна, заради което неверните конфигурации са постоянно срещано събитие – Wiz твърди, че 25% от всички сканирани от тях многофункционални приложения не са имали вярна валидация.

I hacked into a @Bing CMS that allowed me to alter search results and take over millions of @Office365 accounts.
How did I do it? Well, it all started with a simple click in @Azure…