Microsoft เผยแพร่การแก้ไขช่องโหว่ของ Azure ที่อนุญาตให้มี RCE attacks

Microsoft ได้เผยแพร่การอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ด้านความปลอดภัยที่ส่งผลต่อไปป์ไลน์ Azure Synapse และ Azure Data Factory ที่อาจอนุญาตให้ผู้โจมตีดำเนินการคำสั่งระยะไกลผ่านโครงสร้างพื้นฐาน Integration Runtime ช่องโหว่ (ติดตามในชื่อ CVE-2022-29972 และขนานนามว่า SynLapse โดย Orca Security Tzah Pahima) ได้รับการบรรเทาลงเมื่อวันที่ 15 เมษายน โดยไม่มีหลักฐานของการแสวงประโยชน์ก่อนที่จะมีการแก้ไข 

พบช่องโหว่ในตัวเชื่อมต่อข้อมูล ODBC ของบริษัทอื่นที่ใช้เชื่อมต่อกับ Amazon Redshift ใน Integration Runtime (IR) ใน Azure Synapse Pipelines และ Azure Data Factory ช่องโหว่นี้อาจทำให้ผู้โจมตีสามารถดำเนินการคำสั่งจากระยะไกลผ่านโครงสร้างพื้นฐาน IR ได้ไม่จำกัดเพียงผู้เช่ารายเดียว 

ไทม์ไลน์การเปิดเผยข้อมูล: 

  • 4 มกราคม – Orca รายงานปัญหาไปยัง Microsoft 
  • 2 มีนาคม – Microsoft เสร็จสิ้นการเปิดตัวโปรแกรมแก้ไขด่วนเริ่มต้น 
  • 11 มีนาคม – Microsoft ระบุและแจ้งลูกค้าที่ได้รับผลกระทบจากกิจกรรมของผู้วิจัย 
  • 30 มีนาคม – Orca แจ้ง Microsoft เกี่ยวกับเส้นทางการโจมตีเพิ่มเติมไปยังช่องโหว่เดียวกัน 
  • 13 เมษายน – Orca แจ้ง Microsoft เกี่ยวกับเส้นทางการโจมตีที่สองไปยังช่องโหว่เดียวกัน 
  • 15 เมษายน – มีการแก้ไขเพิ่มเติมสำหรับสองเส้นทางการโจมตีที่รายงานใหม่ เช่นเดียวกับการใช้มาตรการป้องกันเชิงลึกเพิ่มเติม 

Ref: https://www.bleepingcomputer.com/news/security/microsoft-releases-fixes-for-azure-flaw-allowing-rce-attacks/ 

Share