以色列網(wǎng)絡(luò)安全公司Check Point的網(wǎng)絡(luò)安全研究人員近日披露了微軟Azure服務(wù)中兩個最近被修復(fù)的可能很危險的漏洞的詳細(xì)信息：這些漏洞一旦被鉆空子，黑客可以攻擊在Azure上運(yùn)行Web和移動應(yīng)用程序的公司企業(yè)。

[[313971]]

Azure App Service是一項(xiàng)完全托管的集成服務(wù)，讓用戶能夠?yàn)槿魏纹脚_或設(shè)備創(chuàng)建Web和移動應(yīng)用程序，并將它們與SaaS解決方案和本地應(yīng)用程序輕松集成起來、使業(yè)務(wù)流程實(shí)現(xiàn)自動化。

據(jù)研究人員向知名網(wǎng)站The Hacker News出示的一份安全報告顯示，第一個安全漏洞（CVE-2019-1234）是一個服務(wù)器端請求欺騙漏洞，該漏洞影響了微軟的混合云計(jì)算軟件解決方案Azure Stack。

一旦被鉆空子，該漏洞將使遠(yuǎn)程黑客能夠未經(jīng)授權(quán)即可訪問在Azure基礎(chǔ)架構(gòu)上運(yùn)行的任何虛擬機(jī)的屏幕截圖和敏感信息——至于是在共享的虛擬機(jī)、專用的虛擬機(jī)還是隔離的虛擬機(jī)上運(yùn)行，并不重要。

據(jù)研究人員聲稱，該漏洞可以通過微軟Azure Stack Portal來鉆空子，用戶通過該界面來訪問使用Azure Stack創(chuàng)建的云。

通過使用一個未經(jīng)身份驗(yàn)證的內(nèi)部API，研究人員找到了一種方法，以獲取虛擬機(jī)名稱和ID、硬件信息（比如目標(biāo)機(jī)器的核心和總內(nèi)存），然后結(jié)合使用另一個未經(jīng)身份驗(yàn)證的HTTP請求以獲取屏幕截圖，如圖所示。

微軟Azure屏幕截圖

這個漏洞只影響Azure Stack，這也是一條“很有效的攻擊途徑”，Check Point的安全研究主管Yaniv Balmas說。“實(shí)際上，如果某人擁有龐大的Azure Stack環(huán)境，且有諸多租戶，我就能獲取其他機(jī)器的屏幕截圖。這可能很危險，也可能不危險，得看情況。”

而第二個漏洞（CVE-2019-1372）是一個遠(yuǎn)程代碼執(zhí)行漏洞，該漏洞影響了Azure Stack上的Azure App Service，這將使黑客能夠全面控制整個Azure服務(wù)器，進(jìn)而全面控制一家企業(yè)的商業(yè)代碼。Azure App Service讓用戶可以使用一種他們選擇的編程語言，構(gòu)建和托管Web應(yīng)用程序、移動后端程序以及充分利用REST（restful）的API，無需管理基礎(chǔ)架構(gòu)。

更值得關(guān)注的是，攻擊者可以同時鉆這兩個漏洞的空子，只需在Azure Cloud創(chuàng)建一個免費(fèi)用戶帳戶，并在Azure Cloud上運(yùn)行惡意函數(shù)，或者將未經(jīng)身份驗(yàn)證的HTTP請求發(fā)送到Azure Stack用戶門戶網(wǎng)站。

Check Point發(fā)布了介紹第二個漏洞的詳細(xì)技術(shù)文章，但簡而言之，該漏洞存在于動態(tài) WAS服務(wù)（DWASSVC）中，這項(xiàng)服務(wù)負(fù)責(zé)管理和運(yùn)行租戶的應(yīng)用程序和IIS worker進(jìn)程，而這些進(jìn)程實(shí)際上運(yùn)行租戶的應(yīng)用程序，并為指定的任務(wù)彼此聯(lián)系。

由于Azure Stack未檢查緩沖區(qū)的長度就將內(nèi)存內(nèi)容復(fù)制到緩沖區(qū)，攻擊者就可以鉆該漏洞的空子：只要向DWASSVC服務(wù)發(fā)送特別創(chuàng)建的消息，讓DWASSVC服務(wù)能夠以最高的NT AUTHORITY / SYSTEM權(quán)限在服務(wù)器上執(zhí)行惡意代碼。

設(shè)計(jì)人員說：“那么，攻擊者如何才能向DWASSVC（DWASInterop.dll）發(fā)送消息？按照設(shè)計(jì)，運(yùn)行C# Azure函數(shù)時，它在worker進(jìn)程（w3wp.exe）的上下文中運(yùn)行。”

“這讓攻擊者有可能枚舉目前打開的句柄（handle）。這樣一來，攻擊者就可以找到已經(jīng)打開的命名管道句柄，并發(fā)送特別創(chuàng)建的消息。”

Balmas說：“這讓人可以全面了解在同一個服務(wù)器上運(yùn)行的每個工作負(fù)載。我可以改動，可以刪除，可以為所欲為。”

Check Point在博文中僅使用第二個漏洞就演示了如何可以鉆該漏洞的空子讓DWASSVC崩潰，不過也可以利用該漏洞以提升權(quán)限。

Check Point的研究人員Ronen Shustin發(fā)現(xiàn)了這兩個漏洞，去年他負(fù)責(zé)任地向微軟報告了這些漏洞，防止黑客造成嚴(yán)重破壞和混亂。Shustin在博文中說，研究團(tuán)隊(duì)當(dāng)初開始研究Azure基礎(chǔ)架構(gòu)，是為了反駁“云基礎(chǔ)架構(gòu)很安全”這一觀念。

Balmas說：“這是云安全領(lǐng)域的一場惡夢。這動搖了云安全概念。你防止不了，你保護(hù)不了自己。唯一能防止、能保護(hù)的是云提供商。”

在去年年底給這兩個漏洞打上補(bǔ)丁之后，微軟按照其Azure漏洞懸賞計(jì)劃對Shustin獎勵了40000美元。