0
0
Duas vulnerabilidades de segurança na nuvem — no Bastião do Azure e no Registro de Contêiner do Azure — foram encontradas nos serviços do Microsoft Azure, o que “permitiu que um invasor alcançasse scripts entre sites (XSS) usando iframe-postMessages [e] permitiu acesso não autorizado à sessão da vítima dentro do iframe de serviço comprometido do Azure”, de acordo com a Orca Security.
A Orca notificou o Microsoft Security Response Center (MSRC) imediatamente após a descoberta dos bugs. O MSRC conseguiu reproduzir os problemas depois de ser notificado da existência das vulnerabilidades para corrigi-las e verificá-las.
Cross-site scripting (XSS) é um evento no qual um agente de ameaça injeta scripts maliciosos em um site confiável, em última análise, executado pelos navegadores dos usuários sem saber. Nesse ponto, isso pode levar a graves consequências, observou a Orca Security, já que os agentes de ameaças podem obter acesso não autorizado, comprometer sistemas de rede ou até mesmo roubar dados.
No entanto, “essas vulnerabilidades exigem que a vítima seja atraída a visitar um endpoint comprometido que o ator mal-intencionado controla”, comentou David Lindner, CISO da Contrast Security, em um comunicado enviado por e-mail. “A Microsoft deve corrigir isso? Muito provavelmente, mas eu não chamaria isso de grave de forma alguma. Se alguém for atraído para um endpoint controlado pelo atacante, todas as apostas são descartadas de qualquer maneira.”
As correções eram automáticas, portanto, nenhuma ação adicional é necessária dos usuários do Azure, mas eles podem querer procurar sinais de comprometimento.
FONTE: DARK READING