マイクロソフト、お客様に「不正な」Azureバグについて通知
クラウドセキュリティ企業Wizはそのバグを昨年の10月に発見しました。
マイクロソフトのセキュリティ応答センターは、クラウドセキュリティ会社Wizによって発見されたAzureの「NotLegit」バグに対する対応を説明するブログ投稿を公開しました。
Wizは、2017年9月以降にAzure App Serviceのクリーンデフォルトアプリケーション上で「Local Git」を使用してデプロイされたすべてのPHP、Node、Ruby、Pythonアプリケーションが影響を受けると述べました。また、アプリケーションコンテナ内でファイルが作成または変更された後に、2017年9月以降にAzure App ServiceにデプロイされたすべてのPHP、Node、Ruby、Pythonアプリケーションも影響を受けると付け加えました。
マイクロソフトは、彼らの応答で、問題がローカルGitを使用してアプリケーションをデプロイしたApp Service Linuxの顧客に影響を与えることを明確にしました。彼らは、これは「システムが現在デプロイされているファイルをリポジトリコンテンツの一部として保存しようとするため、デプロイメントエンジン（Kudu）によるインプレースデプロイメントと呼ばれるものがアクティブ化されるからだ」と説明しました。
「PHPランタイムに使用される画像は、コンテンツルートフォルダ内のすべての静的コンテンツを提供するように設定されていました。この問題が私たちの注意を引いた後、MicrosoftはすべてのPHP画像を更新して、.gitフォルダを静的コンテンツとして提供しないようにし、深層防御の手段を講じました。」
彼らは、Local Gitのすべてのユーザーがこの脆弱性の影響を受けているわけではなく、Azure App Service Windowsも影響を受けていないことを指摘しました。
マイクロソフトは、インプレース展開の有効化により影響を受けた顧客や、.gitフォルダーがコンテンツディレクトリにアップロードされた顧客を含む、問題に影響を受けた顧客に通知しました。同社はまた、ソースコードの保護に関する追加セクションを含めたセキュリティ推奨文書を更新しました。さらに、インプレース展開のドキュメントも更新しました。
ウィズ研究チームは火曜日に、問題を最初にマイクロソフトに通知したのが10月7日であり、問題解決のためにその月を通じて同社と協力してきたと述べました。修正は11月に展開され、顧客には12月に通知されました。ウィズは7500ドルのバグバウンティを受け取りました。
マイクロソフトは、この脆弱性が悪用されたかどうかについては言及していないが、Wizは「NotLegit」が「非常に簡単で一般的であり、現在も悪用されている」と述べた。
「私たちが見つけた問題に対する露出の可能性を評価するために、脆弱なAzure App Serviceアプリケーションを展開し、未使用のドメインにリンクさせ、誰かが.gitファイルにアクセスしようとするのを静かに待ちました。展開してから4日以内に、未知のアクターから.gitフォルダーへの複数のリクエストがあったことに驚くことはありませんでした」と研究者たちは説明しました。
「顧客の小規模グループは依然として潜在的に危険にさらされており、2021年12月7日から15日の間にMicrosoftが発信したいくつかのメールアラートに詳述されたように、アプリケーションを保護するために特定のユーザーアクションを取るべきです。」
ウィズ研究チームは、ユーザーエラーによってGitフォルダーが偶然に公開されることが、国連やいくつかのインド政府のサイトなどの組織に影響を与えるセキュリティ問題であると指摘しました。
ベクトラのCTOオリバー・タバコリは、この脆弱性の影響は非常に変動する可能性があると述べました。アプリケーションの背後にあるソースコード（おそらく同じディレクトリに残されている他のファイルも）にアクセスすることで、他の攻撃に利用可能な情報を得ることができるかもしれないとタバコリは言いました。
「研究者たちが実質的にハニーポットを設置し、実際に野外でその脆弱性が悪用されるのを見たという事実は特に懸念されます。なぜなら、それはその脆弱性が十分に秘密にされていなかったことを意味するからです」とタヴァコリは説明しました。
JupiterOneのフィールドセキュリティディレクターであるジャスミン・ヘンリーはZDNetに対し、漏洩したソースコードが組織を脅威の行為者に非常に脆弱な状況に置くと述べました。脅威の行為者は知的財産を即座に盗むことができるか、ソースコードの特有の弱点に合わせたエクスプロイトを仕掛けることができます。
"NotLegit脆弱性は特に注目すべきものであり、開発者のエラーがなくても特権アカウントやサービスによって引き起こされるセキュリティリスクの増大を浮き彫りにしています"とヘンリーは述べました。