Il motore di ricerca Bing di Microsoft ha fatto notizia ultimamente a causa del lancio di Bing Chat. Tuttavia, prima di questo lancio, i ricercatori di sicurezza di Wiz hanno scoperto un importante difetto nella piattaforma di cloud computing di Microsoft, Azure, che ha compromesso la sicurezza di Bing.
Hillai Ben-Sasson di Wiz ha rivelato le loro scoperte in un recente thread su Twitter, affermando di aver scoperto”una strana configurazione di Azure”a gennaio. Hanno trovato una vulnerabilità nel servizio di gestione delle identità e degli accessi di Azure Active Directory (AAD), che ha consentito loro di accedere alla funzionalità Bing Trivia di Microsoft senza autenticazione. Questo difetto ha consentito agli hacker di ottenere informazioni personali dagli utenti di Bing, come e-mail di Outlook e chat di Teams, emettendo token di Office a tutti gli utenti che hanno effettuato l’accesso.
Secondo Ami Luttwak, Chief Technology Officer di Wiz, l’exploit potrebbe essere stato utilizzato da un stato che cerca di influenzare l’opinione pubblica o un hacker con motivazioni finanziarie. Fortunatamente, Microsoft ha risolto i problemi segnalati da Wiz in Azure e Bing. In un blog post, Microsoft ha dichiarato che Azure AD è stato aggiornato per interrompere l’emissione di token di accesso ai client non registrati nel tenant della risorsa. Questo dovrebbe prevenire questo problema se l’applicazione non gestisce correttamente i controlli di autenticazione.
Sebbene Wiz non abbia trovato alcuna prova di sfruttamento prima del rilascio della patch, suggerisce che le organizzazioni che utilizzano le applicazioni Azure Active Directory rivedano i propri log dell’applicazione per accessi sospetti che indicano una violazione della sicurezza.
In riconoscimento dei loro sforzi, Microsoft ha premiato Wiz con $ 40.000 per aver trovato e segnalato il difetto. Ciò evidenzia l’importanza della divulgazione responsabile delle vulnerabilità per garantire che vengano affrontate in modo rapido ed efficiente.
In conclusione, la recente scoperta di una vulnerabilità in Azure da parte di Wiz serve a ricordare l’importanza di solide misure di sicurezza in piattaforme di cloud computing. Con Microsoft che risolve rapidamente i problemi, è una testimonianza del suo impegno a garantire la sicurezza e la protezione dei dati dei suoi utenti. Tuttavia, le organizzazioni dovrebbero anche adottare misure proattive per esaminare i log delle applicazioni per identificare attività sospette e prevenire future violazioni della sicurezza.