La cadena de ataque EmojiDeploy apunta a un servicio de Azure mal configurado

Una cadena de ataques que explotan configuraciones incorrectas y controles de seguridad débiles en un servicio compartido de Azure muestra cómo la falta de visibilidad afecta la seguridad de la plataforma en la nube.

La cadena de ataque EmojiDeploy podría permitir que un atacante ejecute código arbitrario con permisos de servidor web, robe o elimine datos confidenciales y comprometa una aplicación específica, explicó Ermetic en su Consulta del 19 de enero. Según Ermetic, un atacante podría explotar un trío de problemas de seguridad que afectan el servicio de administración de código fuente compartido (SCM), un servicio en la nube utilizado por muchas aplicaciones de Azure sin previo aviso explícito al usuario.

Los problemas muestran que la seguridad de las plataformas en la nube se ve socavada por la falta de transparencia sobre lo que hacen esas plataformas bajo el capó, dice Igal Gofman, director de investigación de Ermetic.

“Los clientes de Azure y los servicios en la nube (empresas) deben estar familiarizados, no confiar, en cada servicio y sus componentes internos. [that the] La configuración predeterminada proporcionada por los proveedores de la nube siempre es segura”, dice. «Aunque los proveedores de la nube gastan millones de dólares en asegurar su infraestructura en la nube, pueden ocurrir errores de configuración y vulnerabilidades de seguridad».

la EmojiImplementar investigación se une a otras cadenas de ataque descubiertas recientemente por investigadores de seguridad que pueden haber dado lugar a violaciones de datos en plataformas en la nube o servicios en la nube comprometidos. En octubre de 2022, por ejemplo, los investigadores Dos vulnerabilidades encontradas en Jira Align de Atlassian, una aplicación ágil de gestión de proyectos que pudo haber permitido que grupos de amenazas atacaran el servicio de Atlassian. En enero de 2022, Amazon solucionó dos problemas de seguridad en su plataforma Amazon Web Services (AWS) que podrían haber permitido a un usuario Tome el control de la infraestructura en la nube de otro cliente.

Un atacante solo tiene que tomar un promedio de tres pasos – a menudo comenzando, en el 78% de los casos, con una vulnerabilidad – para comprometer datos confidenciales en servicios en la nube, según un análisis.

«Los sistemas en la nube son muy complejos», dice Ermetic. «Comprender la complejidad del sistema y el entorno en el que trabaja es fundamental para defenderlo».

Explotación del administrador de código fuente

El ataque encontrado por Ermetic aprovechó la inseguridad de una configuración de cookies específica para el Administrador de código fuente (SCM). El servicio de Azure tiene dos controles: prevención de secuencias de comandos en sitios cruzados (XSS) y prevención de falsificación de solicitudes en sitios cruzados (XSRF), establecidos en el valor predeterminado de «Lax» según la recomendación de Ermetic.

Después de investigar más a fondo el impacto de esta configuración, los investigadores de Ermetic determinaron que aquellos que usan cualquiera de los tres servicios populares de Azure (Azure App Service, Azure Functions y Azure Logic Apps) podrían ser objeto de la vulnerabilidad. El ataque fue posible porque estos tres servicios principales usan Panel Source Code Management (SCM) para permitir que los equipos web y de desarrollo administren su aplicación de Azure. Dado que SCM se basa en el proyecto de administración de repositorios de código abierto de Kudu, que es un marco .NET similar a Git, una vulnerabilidad de secuencias de comandos entre sitios en el proyecto de código abierto también afecta a Azure SCM.

Desafortunadamente, la configuración de seguridad no es obvia, dijo Ermetic, agregando tantos Clientes de servicios web de Azure Ni siquiera sabría de la existencia de la Panel SMC.

Sin embargo, una sola vulnerabilidad no es suficiente. Los investigadores combinaron la seguridad laxa de las cookies con una URL especialmente diseñada que pasa por alto la verificación del servicio en la nube de que todos los componentes del sitio web provienen del mismo origen. La combinación de los dos componentes permite un ataque de origen cruzado completo, según Ermetic en su aviso. Una tercera vulnerabilidad hizo posible incorporar ciertas acciones o payloads al ataque.

Responsabilidad compartida significa transparencia de configuración

La cadena de ataque subraya la necesidad de que los proveedores de la nube sean más transparentes sobre sus controles de seguridad y utilicen configuraciones más seguras de manera predeterminada, dice Gofman de Ermetic. Si bien la responsabilidad compartida ha sido durante mucho tiempo el mantra de la seguridad en la nube, los servicios de infraestructura en la nube no siempre ofrecen fácil acceso o integración con los controles de seguridad.

«Conocer la configuración y los ajustes predeterminados del servicio es importante porque la nube utiliza un modelo de responsabilidad de seguridad compartida entre el proveedor y el cliente», dice. “Aplicar el principio de privilegio mínimo y conocer el modelo de responsabilidad compartida es muy importante”.

Emetic notificó a Microsoft sobre la cadena de ataque en octubre y el proveedor emitió una solución global para Azure a principios de diciembre, según el Aviso.

“El impacto de la vulnerabilidad en la organización en su conjunto depende de los permisos de la identidad que maneja la aplicación”, explicó Ermetic en su aviso. «La aplicación efectiva del principio de privilegio mínimo puede limitar significativamente el radio de explosión».