Microsoft ne prévoit pas de publier un correctif pour cette vulnérabilité. Au lieu de cela, elle a créé une documentation centralisée pour informer les clients sur les schémas d’utilisation des balises de service.

La vulnérabilité permet à un attaquant malveillant de contourner les règles de pare-feu basées sur les balises de service Azure en falsifiant les requêtes des services de confiance. Un acteur malveillant pourrait exploiter les balises de service qui ont été autorisées à travers le pare-feu d’un utilisateur s’il n’y a pas de contrôles de validation supplémentaires. En exploitant cette vulnérabilité, un attaquant pourrait accéder au service Azure d’une organisation et à d’autres services Azure internes et privés.

« Cette vulnérabilité permet à un attaquant de contrôler les requêtes de forge côté serveur, et donc de se faire passer pour un service Azure de confiance", explique Liv Matan, ingénieur de recherche principal chez Tenable. « Nous recommandons vivement aux clients de prendre des mesures immédiates. En s’assurant qu’une authentification réseau forte est maintenue, les utilisateurs peuvent se défendre avec une couche de sécurité supplémentaire et cruciale ».

Les clients Azure dont les règles de pare-feu s’appuient sur les balises de service Azure pour la sécurité sont menacés par cette vulnérabilité et doivent prendre des mesures immédiates pour atténuer le problème afin de s’assurer qu’ils sont protégés par de solides couches d’authentification et d’autorisation. des couches robustes d’authentification et d’autorisation.