CyberArk découvre une vulnérabilité dans Microsoft Azure
décembre 2019 par Marc Jacob
CyberArk a récemment travaillé conjointement avec Microsoft Azure et Microsoft 2.0. Ces recherches ont permis de révéler une vulnérabilité, appelée BlackDirect, qui permet la prise de contrôle dans Microsoft Azure.
Affectant des applications spécifiques OAuth 2.0 de Microsoft, cette vulnérabilité permet la création de tokens – soient des jetons d’authentification physiques ou non – avec l’autorisation de la victime. Par conséquent, une personne malveillante pourrait accéder et contrôler le compte d’une victime et mener des actions en son nom.
Les domaines et sous-domaines de confiance des applications OAuth ne sont pas enregistrés par Microsoft, ils peuvent donc être sauvegardés par n’importe qui, y compris un cybercriminel. En outre, ces applications sont validées par défaut et sont autorisées à demander un « access_token ». La combinaison de ces deux facteurs permet de produire une action avec les autorisations de l’utilisateur ; dont l’accès aux ressources Azure ou encore celles du domaine admin.
CyberArk a mis à disposition un scan gratuit en ligne, permettant à un utilisateur de vérifier s’il est vulnérable en remplissant un court formulaire.