Дыра в облачном сервисе Microsoft поставила под угрозу тысячи баз данных
Microsoft предупредила своих клиентов, в том числе крупнейшие мировые компании, о найденной уязвимости в облачной платформе Azure. Благодаря ей злоумышленники могли просматривать, изменять и удалять конфиденциальные базы данных. Об этом сообщает Reuters и CNBC со ссылкой на письмо, которое Microsoft разослала клиентам.
Уязвимость находится во флагманской базе данных Cosmos Microsoft Azure, ее обнаружили специалисты по компьютерной безопасности компании Wiz. Microsoft поблагодарила компанию и пообещала выплатить ей $40 тыс. за обнаружение уязвимости.
Специалисты Wiz смогли получить ключи, которые открывают доступ к базам данных тысяч предприятий (как отметили в компании, в том числе Coca-Cola, Exxon-Mobil и Citrix). Поскольку Microsoft не может изменить эти ключи самостоятельно, в четверг она отправила клиентам электронное письмо с просьбой создать новые.
Специалисты Wiz заявили, что найденная ими лазейка теоретически позволяла любому пользователю загружать, удалять или манипулировать огромным набором коммерческих баз данных. Компания отметила, что служба безопасности Microsoft своевременно отреагировала на информацию об угрозе. «Мы редко видим, чтобы службы безопасности действовали так быстро! Они отключили уязвимую функцию в течение 48 часов после того, как мы сообщили об этом», — уточнили в Wiz.
Как утверждается в письме Microsoft, пока нет доказательств, что найденной уязвимостью кто-то успел воспользоваться. В то же время в Wiz отмечают, что лазейка в системе существовала минимум несколько месяцев, а возможно, и лет.
Технический директор Wiz Ами Люттвак — бывший технический директор подразделения облачной безопасности Microsoft. «Это худшая облачная уязвимость, которую только можно представить», — заявил он Reuters. Люттвак уточнил, что Wiz обнаружила уязвимость 9 августа и уведомила Microsoft 12 августа. На сайте Wiz информация о случившемся появилась 26 августа, о предупреждении Microsoft клиентам стало известно сегодня.
В декабре 2020 года стало известно, что хакеры, действующие при поддержке иностранного правительства, атаковали ИТ-компанию SolarWinds, в клиентах которой — Пентагон, Министерства юстиции, Госдепартамента, Агентства национальной безопасности, Почтовой службы и 425 компаний из американского списка Fortune 500. Reuters со ссылкой на источники сообщило, что хакерская атака также затронула Microsoft, которая пользовалась программным обеспечением SolarWinds. The Washington Post указала, что хакеры получили доступ к электронной почте и похитили переписку некой частной компании, название которой не уточняется. В самой Microsoft факт взлома отрицают.