CVE-2023-36052 peut exposer des informations confidentielles dans les journaux publics.
Azure CLI (Azure Command-Line Interface) courrait un grand risque d'exposer des informations sensibles, y compris les informations d'identification, chaque fois que quelqu'un interagit avec les journaux GitHub Actions sur la plateforme, selon le dernier article du blog à partir du Centre de réponse de sécurité Microsoft.
MSRC a été informé de la vulnérabilité, désormais appelée CVE-2023-36052, par un chercheur qui a découvert que la modification d'Azure Les commandes CLI pourraient conduire à afficher des données et des sorties sensibles vers l'intégration continue et le déploiement continu (CI/CD) journaux.
Ce n'est pas la première fois que les chercheurs découvrent que les produits Microsoft sont vulnérables. Plus tôt cette année, une équipe de chercheurs a fait prendre conscience à Microsoft que Teams était très sujet aux logiciels malveillants modernes, y compris les attaques de phishing. Les produits Microsoft sont si vulnérables que 80% des comptes Microsoft 365 ont été piratés en 2022, seul.
La menace de la vulnérabilité CVE-2023-36052 était telle que Microsoft a immédiatement pris des mesures sur toutes les plateformes et Produits Azure, notamment Azure Pipelines, GitHub Actions et Azure CLI, et infrastructure améliorée pour mieux résister à de tels peaufiner.
En réponse au rapport de Prisma, Microsoft a apporté plusieurs modifications à différents produits, notamment Azure Pipelines, GitHub Actions et Azure CLI, pour mettre en œuvre une rédaction de secrets plus robuste. Cette découverte met en évidence la nécessité croissante de garantir que les clients n’enregistrent pas d’informations sensibles dans leurs pipelines de dépôt et de CI/CD. Minimiser les risques de sécurité est une responsabilité partagée; Microsoft a publié une mise à jour d'Azure CLI pour empêcher la divulgation de secrets et les clients doivent être proactifs en prenant des mesures pour sécuriser leurs charges de travail.
Microsoft
Que pouvez-vous faire pour éviter le risque de perdre des informations sensibles à cause de la vulnérabilité CVE-2023-36052 ?
Le géant de la technologie basé à Redmond affirme que les utilisateurs doivent mettre à jour Azure CLI vers la dernière version (2.54) dès que possible. Après la mise à jour, Microsoft souhaite également que les utilisateurs suivent cette directive :
- Mettez toujours à jour Azure CLI vers la dernière version pour recevoir les mises à jour de sécurité les plus récentes.
- Évitez d’exposer la sortie Azure CLI dans des journaux et/ou des emplacements accessibles publiquement. Si vous développez un script qui nécessite la valeur de sortie, assurez-vous de filtrer la propriété nécessaire au script. S'il-vous-plaît évaluez Informations Azure CLI concernant les formats de sortie et mettre en œuvre nos recommandations conseils pour masquer une variable d’environnement.
- Faites régulièrement pivoter les clés et les secrets. En tant que bonne pratique générale, les clients sont encouragés à alterner régulièrement les clés et les secrets selon une cadence qui convient le mieux à leur environnement. Consultez notre article sur les considérations clés et secrètes dans Azure ici.
- Consultez les instructions relatives à la gestion des secrets pour les services Azure.
- Consultez les meilleures pratiques GitHub pour le renforcement de la sécurité dans les actions GitHub..
- Assurez-vous que les référentiels GitHub sont définis comme privés, sauf s'ils doivent être publics..
- Consultez les conseils pour sécuriser Azure Pipelines.
Microsoft apportera quelques modifications suite à la découverte de la vulnérabilité CVE-2023-36052 sur Azure CLI. L'un de ces changements, affirme l'entreprise, est la mise en œuvre d'un nouveau paramètre par défaut qui empêche les informations sensibles les informations étiquetées comme secrètes ne sont pas présentées dans la sortie des commandes pour les services d'Azure famille.
Cependant, les utilisateurs devront mettre à jour vers la version 2.53.1 et supérieure d’Azure CLI, car le nouveau paramètre par défaut ne sera pas implémenté sur les anciennes versions.
Le géant de la technologie basé à Redmond étend également les capacités de rédaction dans GitHub Actions et Azure Pipelines pour mieux identifier et capturer toutes les clés émises par Microsoft qui peuvent être exposées en public journaux.
Si vous utilisez Azure CLI, assurez-vous de mettre à jour la plateforme vers la dernière version dès maintenant pour protéger votre appareil et votre organisation contre la vulnérabilité CVE-2023-36052.
