Việc ngày càng có nhiều doanh nghiệp chuyển sang sử dụng công nghệ đám mây khiến cho nhiệm vụ bảo mật cơ sở hạ tầng này trở nên quan trọng hơn bao giờ hết.
Một nghiên cứu mới đây đã phát hiện hai lỗi bảo mật trên Azure App Service của Microsoft có khả năng cho phép tin tặc thực hiện các cuộc tấn công giả mạo request phía máy chủ (SSRF), hoặc tấn công thực thi mã tùy ý và chiếm quyền điều khiển máy chủ quản trị.
“Những lỗi bảo mật này cho phép kẻ tấn công âm thầm chiếm quyền kiểm soát máy chủ git của App Service, hoặc cài các trang lừa đảo phishing độc hại qua Azure Portal để nhắm mục tiêu vào các quản trị viên hệ thống,” công ty an ninh mạng Intezer cho biết trong một báo cáo được công bố gần đây.
Được phát hiện bởi Paul Litvak thuộc Intezer Labs, các lỗ hổng đã được báo cáo cho Microsoft vào tháng 6 và sau đó đã được công ty này nhanh chóng giải quyết.
Azure App Service là một nền tảng dựa trên điện toán đám mây và được sử dụng như một dịch vụ lưu trữ web để xây dựng các ứng dụng web và mobile backend.
Khi một App Service được tạo qua Azure, một môi trường Docker mới sẽ được tạo với hai container node (node quản lý và node ứng dụng), cùng với việc đăng ký hai tên miền dẫn tới máy chủ web HTTP của ứng dụng, và trang quản trị của dịch vụ ứng dụng. Sau đó nó sử dụng Kudu để thực hiện triển khai liên tục ứng dụng từ các nhà cung cấp dịch vụ lưu trữ mã nguồn như GitHub hay Bitbucket.