Azure Logic Apps mimarisindeki açıklar kiracılar arası erişim sağladı
Öne çıkanlar
- API Connections bileşenindeki mimari hata, yabancı kiracıların Key Vault ve SQL kaynaklarına erişim verdi.
- Belgelenmemiş API uç noktaları dizin geçişi teknikleriyle istismar edildi.
- Microsoft zafiyetleri giderdi ve güvenlik araştırmacısına 200 bin dolar ödül ödedi.
Bir güvenlik araştırmacısı, Microsoft Azure platformunun API Connections bileşeninde kiracılar arası tam yetki elde edilmesine olanak tanıyan beş farklı güvenlik açığı keşfetti. Azure Logic Apps sisteminin bir parçası olan API Connections altyapısındaki mimari zayıflıklar, saldırganların başka kullanıcılara ait arka plan hizmetlerine tam erişim sağlamasına imkan verdi. Güvenlik açıkları; Azure Key Vault, Azure SQL veri tabanları, Jira ve Salesforce gibi harici sistemlerin yetkisiz şekilde ele geçirilmesine zemin hazırladı.
Araştırmacı, Azure Resource Manager üzerinden paylaşılan API Management bileşenine doğrudan sorgu gönderilebildiğini belirledi. Sistemde kullanılan "DynamicInvoke" uç noktasına yönelik dizin geçişi saldırısıyla başka bir kiracının Key Vault verileri okundu. Microsoft'un bu açığı kara liste yöntemiyle kapatmasının ardından kod analizine devam eden araştırmacı; "DynamicList" gibi belgelenmemiş uç noktaların varlığını ortaya çıkardı ve SQL veri tabanlarına veri yazılabileceğini kanıtladı.
Sonraki aşamada paylaşımlı çalışan Logic Apps iş akışları incelendi ve çalışma zamanı doğrulama süreçleri atlatıldı. "RuntimeUrl" parametresinin normalleştirilmeden denetlenmesi gibi eksik yamalar, saldırganın hedef kiracıların bağlantı belirteçlerini kötüye kullanmasına yol açtı. Microsoft, bildirilen zafiyetleri ilgili uç noktaları engelleyerek ve doğrulama süreçlerini güncelleyerek giderdi; araştırmacıya hata ödül programı kapsamında toplam 200 bin dolar ödül verdi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.