Контакты
Подписка 2022
МЕНЮ
Контакты
Подписка

Microsoft опубликовала подробности об уязвимости в Azure Service Fabric

30/06/22

Microsoft azure service

Компания Microsoft опубликовала подробности об уязвимости CVE-2022-30137 в Azure Service Fabric (SF), позволяющей злоумышленникам с доступом к скомпрометированному контейнеру повысить свои привилегии и получить контроль над узлом SF хоста и целым кластером.

Хотя уязвимость затрагивает как Linux, так и Windows, проэксплуатировать ее можно только на Linux. Microsoft стало известно о проблеме от исследователей из Palo Alto Networks в рамках программы bug bounty, и 26 мая 2022 года компания выпустила исправление для нее, напоминает Securitylab.

Все пользователи, подписанные на автоматические обновления, получили патч автоматически. Пользователям, не подписанным на автоматические обновления, рекомендуется обновить свои кластеры Linux до самого последнего выпуска SF.

Microsoft рекомендует пользователям продолжать просматривать все контейнерные рабочие нагрузки (как на Linux, так на Windows), которым разрешен доступ к кластерам хоста. По умолчанию кластер SF представляет собой однопользовательскую среду, поэтому между приложениями нет изоляции. Создать изоляцию можно, как описано в руководстве по хостингу недоверенного кода на странице лучших практик безопасности Azure Service Fabric.

Этапы эксплуатации уязвимости:

  • Злоумышленник должен скомпрометировать контейнерную рабочую нагрузку, развернутую владельцем кластера;
  • Запущенный в контейнере вредоносный код может заместить чтение индексного файла DCA символической ссылкой.
  • С помощью дополнительной атаки по времени (timing attack) злоумышленник может получить контроль над машиной, на которой развернут узел SF.

Доступ суперпользователя на машинах с развернутым узлом SF не считается границей безопасности в кластере. Наивысшие привилегии на узле одинаковые везде в пределах одного кластера.

Темы:облачные_технологииMicrosoftУгрозыотчет

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2022
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ

Еще темы...