Microsoft случайно е отворила достъп до терабайти поверителна информация за всеки, който я иска
Служители на изследователския отдел на Microsoft, профилиран в региона на изкуствения разсъдък, инцидентно са споделили няколко десетки терабайта поверителни данни, в това число пароли и частни ключове. Информацията е била разкрита при публикуването на масив от данни за образование в план с отворен код в GitHub.
Потребителите на обществено наличното вместилище в GitHub са получили достъп до изходния код и модела на изкуствения разсъдък за различаване на изображения, както и опция за евакуиране на материали посредством URL от хранилището Azure. Експертите от стартъпа за сигурност в облака Wiz откриха, че URL адресът е дал на потребителя цялостен достъп до хранилището в облака, в това число 38 Тбайта сензитивна информация, в това число аварийни копия на персоналните компютри на двама чиновници на Microsoft. Масивът включвал и пароли за услуги на Microsoft, секретни ключове за достъп и повече от 30 000 известия от месинджъра Microsoft Teams от няколкостотин чиновници на Microsoft.
-->
URL адресът, наличен от 2020 година, съдържаше споделен токен за автограф, който освен позволяваше да се четат данни от хранилището Azure, само че и даваше привилегии за прибавянето и редактирането им - всеки можеше да разгласява злонамерено наличие там. Wiz заяви за откритието си на Microsoft на 22 юни, а токенът за фаворизиран достъп беше лишен на 24 юни. Разследването на случая от страна на корпорацията завърши на 16 август.
В резултат на случая " никакви данни на клиенти не са били изложени на риск и други вътрешни услуги не са били компрометирани заради този проблем ", съгласно Microsoft. Компанията разшири опциите за сигурност на GitHub, като включи нови функционалности за надзор на разкриването на идентификационни данни и друга сензитивна информация - в това число споделени токени, които могат да имат извънредно необятни привилегии и дълъг период на годност.
Потребителите на обществено наличното вместилище в GitHub са получили достъп до изходния код и модела на изкуствения разсъдък за различаване на изображения, както и опция за евакуиране на материали посредством URL от хранилището Azure. Експертите от стартъпа за сигурност в облака Wiz откриха, че URL адресът е дал на потребителя цялостен достъп до хранилището в облака, в това число 38 Тбайта сензитивна информация, в това число аварийни копия на персоналните компютри на двама чиновници на Microsoft. Масивът включвал и пароли за услуги на Microsoft, секретни ключове за достъп и повече от 30 000 известия от месинджъра Microsoft Teams от няколкостотин чиновници на Microsoft.
-->
URL адресът, наличен от 2020 година, съдържаше споделен токен за автограф, който освен позволяваше да се четат данни от хранилището Azure, само че и даваше привилегии за прибавянето и редактирането им - всеки можеше да разгласява злонамерено наличие там. Wiz заяви за откритието си на Microsoft на 22 юни, а токенът за фаворизиран достъп беше лишен на 24 юни. Разследването на случая от страна на корпорацията завърши на 16 август.
В резултат на случая " никакви данни на клиенти не са били изложени на риск и други вътрешни услуги не са били компрометирани заради този проблем ", съгласно Microsoft. Компанията разшири опциите за сигурност на GitHub, като включи нови функционалности за надзор на разкриването на идентификационни данни и друга сензитивна информация - в това число споделени токени, които могат да имат извънредно необятни привилегии и дълъг период на годност.
Източник: standartnews.com
КОМЕНТАРИ