Table des matières
Tenable Research a identifié une faille critique dans Microsoft Azure. Cette vulnérabilité permet à des attaquants de contourner les règles du pare-feu en truquant des requêtes provenant de services de confiance.
Faille Microsoft Azure : Services concernés
Cette faille impacte plusieurs services Azure, notamment :
- Azure Application Insights
- Azure DevOps
- Azure Machine Learning
- Azure Logic Apps
- Azure Container Registry
- Azure Load Testing
- Azure API Management
- Azure Data Factory
- Azure Action Group
- Azure AI Video Indexer
- Azure Chaos Studio
Microsoft Azure : Sévérité et conséquences
En outre, Tenable Research considère cette faille comme un grave contournement de sécurité. Bien que le CVSS soit l’outil standard pour évaluer la gravité des vulnérabilités, Tenable suggère une note de haute sévérité pour cette faille, en raison de ses effets potentiels sur l’intégrité et la confidentialité des données.
Par ailleurs, Microsoft Security Response Center (MSRC) a confirmé le problème et l’a classé comme une élévation de privilèges avec un niveau de gravité élevé. Une prime a été attribuée pour cette découverte.
Réactions et recommandations
Pour résoudre ce problème, Microsoft a créé une documentation centralisée afin d’informer les clients sur les modèles d’utilisation des balises de service. Cependant, la vulnérabilité demeure dans les environnements des clients.
Donc, il est recommandé aux utilisateurs de renforcer leurs mesures de sécurité en ajoutant des couches d’authentification et d’autorisation, en plus des contrôles réseau existants.
Faille Microsoft Azure : Chronologie de la divulgation
Voici les dates importantes du processus de divulgation :
- 24 janvier 2024 : Tenable signale la vulnérabilité à Microsoft et reçoit un accusé de réception automatique.
- 31 janvier 2024 : MSRC confirme le problème et accorde une prime.
- 2 février 2024 : MSRC élabore un plan de correction complet.
- 26 février 2024 : MSRC décide de traiter le problème par une mise à jour de la documentation.
- 6 mars 2024 : Accord pour une divulgation coordonnée en mai.
- 30 avril 2024 : Tenable fournit un projet de blog au MSRC.
- 30 avril – 10 mai 2024 : Coordination entre Tenable et MSRC pour intégrer les commentaires.
- 3 juin 2024 : Divulgation coordonnée.
Importance des mesures de sécurité
Enfin, cette faille souligne l’importance de maintenir des mesures de sécurité solides et de surveiller constamment les protocoles de sécurité. Ainsi, les utilisateurs des services Azure concernés doivent immédiatement ajouter des couches d’authentification et d’autorisation pour protéger leurs systèmes.
Pour plus d’articles sur la cybersécurité, consultez régulièrement notre site web GeekFrance.fr.
