Eine Enorme Sicherheitsbedrohung in Azure
Eine "kritische" Schwachstelle in Microsoft Azure sorgt derzeit für erhebliche Unruhe. Sicherheitsforscher sind sich einig – eine katastrophale Lücke – ein potenzieller Ansatzpunkt für Supply-Chain-Attacken. Ob jedoch derzeit ein Sicherheitsupdate existiert ist unklar.
Höchster Bedrohungsgrad
In einem kurzen Beitrag beschreiben Sicherheitsforscher von Trend Micros Zero Day Initiative die Lücke mit einer Höchstwertung (CVSS Score 10 von 10). Eine CVE-Nummer – die scheinbar fehlt. Angreifer könnten die Lücke aus der Ferne ohne Authentifizierung ausnutzen, heißt es.
Ungehinderter Zugriff
Bei einem erfolgreichen Angriff wäre die Anmeldung bei Azure umgehbar. Der Fehler liege in den Berechtigungen die durch ein SAS-Token gewährt werden. Der konkrete Ablauf möglicher Attacken bleibt jedoch unklar.
Gefahr für Kundensysteme
In dieser kritischen Position innerhalb von Microsofts Cloud-Plattform Azure ermöglichen die Schwachstellen Angreifern, Schadcode im Zuge von Supply-Chain-Attacken auf Kundensysteme zu spielen.
Gegenmaßnahmen und Kommunikationsmangel
Sicherheitsforscher teilten mit – Schwachstelle im Oktober 2023 an Microsoft gemeldet. Details zur Lücke kürzlich veröffentlicht. Sie behaupten – ein Sicherheitspatch solle es geben. Dort im Security Update Guide von Microsoft aber steht nichts von einem Update.
Unsicherheiten bei Mitigations
Das Notfallteam CERT Bund des Bundesamts für Sicherheit in der Informationstechnik (BSI) hingegen meldet – keine bestehende Lösung. Sicherheitsteams also ratlos – wie Systeme schützen? Antwort von Microsoft? Noch ausstehend. Ob Angriffe bereits stattfinden – ebenfalls dies bleibt vorerst unklar.
Kommentare