Secuestros de investigadores y servicio de Microsoft usando una laguna en la plataforma en la nube de Azure

mosaicos de windows live microsoft azure

Un profesional de ciberseguridad demostró hoy una debilidad sin parches conocida desde hace mucho tiempo en el servicio en la nube Azure de Microsoft al explotarla para tomar el control Azulejos de Windows Liveuna de las características clave que Microsoft incorporó al sistema operativo Windows 8.

Introducida en Windows 8, la función Live tiles fue diseñada para mostrar contenido y notificaciones en la pantalla de inicio, lo que permite a los usuarios obtener información actualizada de forma continua de sus aplicaciones y sitios web favoritos.

Para facilitar que los sitios web ofrezcan su contenido como Live Tiles, Microsoft tenía una función disponible en un subdominio de un dominio separado, es decir, «notificaciones.buildmypinnedsite.com«que permitía a los administradores de sitios web convertir automáticamente sus fuentes RSS a un formato XML especial y utilizarlo como metaetiqueta en sus sitios web.

El servicio, que Microsoft ya había cerrado, estaba alojado en su propia plataforma Azure Cloud con el subdominio configurado/vinculado a una cuenta de Azure operada por la empresa.

Sin embargo, resulta que incluso después de deshabilitar el servicio de conversión de RSS a XML, la empresa se olvidó de eliminar las entradas del servidor de nombres, dejando el subdominio sin reclamar que aún apunta a los servidores de Azure.

Hanno Böck, quien descubrió este problema, aprovechó esta oportunidad para explotar la debilidad y reclamó el mismo subdominio usando una cuenta recién creada en Azure.

mosaicos vivos de Windows

Aparentemente, el control indirecto sobre el subdominio de Microsoft le permitió enviar contenido arbitrario o notificaciones en Windows Live Tiles de varias aplicaciones o sitios web que todavía usan metaetiquetas generadas por el servicio deshabilitado.

«Con una cuenta común de Azure, pudimos registrar ese subdominio y agregar el nombre de host correspondiente. Así pudimos controlar qué contenido se sirve en ese host», dijo Böck.

«Las páginas web que contienen estas etiquetas meta deben eliminarlas o, si quieren mantener la funcionalidad, deben crear ellos mismos los archivos XML apropiados».

Esta técnica se conoce generalmente como «adquisición de subdominio«un vector de ataque importante que generalmente se puede encontrar en la forma en que la mayoría de los servicios en línea permiten a sus usuarios ejecutar aplicaciones web o blogs con un nombre de dominio personalizado.

Por ejemplo, cuando crea una aplicación en Azure y desea que esté disponible en Internet con un nombre de dominio personalizado, la plataforma les pide a los usuarios que apunten el servidor de nombres de su dominio a Azure y luego lo reclamen en el tablero de su cuenta, sin verificar la propiedad del dominio. .

Dado que Microsoft Azure no tiene un mecanismo para verificar si la cuenta que reclama un dominio realmente es el propietario, cualquier usuario de Azure puede reclamar cualquier dominio no reclamado (o dejado desatendido) que tenga servidores de nombres que apunten al servicio en la nube.

«Hemos informado sobre este problema, pero aún no lo hemos recibido», dijo Böck. «Una vez que cancelamos el subdominio, un mal actor podría registrarlo y abusar de él para ataques maliciosos».

El servicio Blogger de Google también tuvo un problema similar, que la empresa solucionó hace unos años al hacer obligatorio que cada propietario de un blog estableciera un registro TXT único e independiente para sus dominios personalizados con el fin de verificar el reclamo.

Aunque parece que Microsoft ahora ha asegurado su subdominio eliminando los servidores de nombres, The Hacker News contactó a Microsoft para saber si la compañía tiene algún plan para solucionar el problema de «adquisición de subdominio» en su plataforma de servicio en la nube Azure que eventualmente podría afectar a otros usuarios de dominio. así como.

Actualizaremos este informe cuando tengamos noticias.

Continua leyendo

Deja una respuesta

Tu dirección de correo electrónico no será publicada.

Newsletter Signup

Suscríbete a nuestra lista si te interesa recibir turcos exclusivos sobre hacking y seguridad informática