Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 

De la Théorie à la pratique











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

CyberArk découvre une vulnérabilité dans Microsoft Azure

décembre 2019 par Marc Jacob

CyberArk a récemment travaillé conjointement avec Microsoft Azure et Microsoft 2.0. Ces recherches ont permis de révéler une vulnérabilité, appelée BlackDirect, qui permet la prise de contrôle dans Microsoft Azure.

Affectant des applications spécifiques OAuth 2.0 de Microsoft, cette vulnérabilité permet la création de tokens – soient des jetons d’authentification physiques ou non – avec l’autorisation de la victime. Par conséquent, une personne malveillante pourrait accéder et contrôler le compte d’une victime et mener des actions en son nom.

Les domaines et sous-domaines de confiance des applications OAuth ne sont pas enregistrés par Microsoft, ils peuvent donc être sauvegardés par n’importe qui, y compris un cybercriminel. En outre, ces applications sont validées par défaut et sont autorisées à demander un « access_token ». La combinaison de ces deux facteurs permet de produire une action avec les autorisations de l’utilisateur ; dont l’accès aux ressources Azure ou encore celles du domaine admin.

CyberArk a mis à disposition un scan gratuit en ligne, permettant à un utilisateur de vérifier s’il est vulnérable en remplissant un court formulaire.




Voir les articles précédents

    

Voir les articles suivants