Azure CLI is het nieuwste Microsoft-product dat ernstig gevaar loopt vanwege een nieuwe kwetsbaarheid

CVE-2023-36052 kan vertrouwelijke informatie openbaar maken in openbare logboeken.

Azure CLI (Azure Command-Line Interface) liep naar verluidt een groot risico om gevoelige informatie vrij te geven, inclusief inloggegevens, wanneer iemand interactie heeft met de GitHub Actions-logboeken op het platform, volgens de nieuwste blogpost van het Microsoft Security Response Center.

MSRC werd op de hoogte gebracht van de kwetsbaarheid, nu CVE-2023-36052 genoemd, door een onderzoeker die ontdekte dat het aanpassen van Azure CLI-opdrachten kunnen leiden tot het tonen van gevoelige gegevens en uitvoer naar Continuous Integration en Continuous Deployment (CI/CD) logboeken.

Dit is niet de eerste keer dat onderzoekers erachter komen dat Microsoft-producten kwetsbaar zijn. Eerder dit jaar maakte een team van onderzoekers Microsoft ervan bewust dat Teams bestaat zeer gevoelig voor moderne malware, inclusief phishing-aanvallen. Microsoft-producten zijn zo kwetsbaar dat 80% van de Microsoft 365-accounts in 2022 werd gehackt, alleen.

De dreiging van de CVE-2023-36052-kwetsbaarheid was zo groot dat Microsoft onmiddellijk actie ondernam op alle platforms en Azure-producten, waaronder Azure Pipelines, GitHub Actions en Azure CLI, en een verbeterde infrastructuur om deze beter te kunnen weerstaan tweaken.

Als reactie op het rapport van Prisma heeft Microsoft verschillende wijzigingen aangebracht in verschillende producten, waaronder Azure Pipelines, GitHub Actions en Azure CLI, om een ​​robuustere geheime redactie te implementeren. Deze ontdekking benadrukt de toenemende behoefte om ervoor te zorgen dat klanten geen gevoelige informatie in hun repository- en CI/CD-pijplijnen registreren. Het minimaliseren van veiligheidsrisico's is een gedeelde verantwoordelijkheid; Microsoft heeft een update voor Azure CLI uitgebracht om te voorkomen dat geheimen worden gepubliceerd en van klanten wordt verwacht dat zij proactief stappen ondernemen om hun werklasten te beveiligen.

Microsoft

Wat kunt u doen om het risico te vermijden dat u gevoelige informatie verliest door de CVE-2023-36052-kwetsbaarheid?

De in Redmond gevestigde technologiegigant zegt dat gebruikers Azure CLI zo snel mogelijk moeten updaten naar de nieuwste versie (2.54). Na de update wil Microsoft ook dat gebruikers deze richtlijn volgen:

1. Update Azure CLI altijd naar de nieuwste release om de meest recente beveiligingsupdates te ontvangen.
2. Vermijd het blootstellen van Azure CLI-uitvoer in logboeken en/of openbaar toegankelijke locaties. Als u een script ontwikkelt dat de uitvoerwaarde vereist, zorg er dan voor dat u de eigenschap filtert die nodig is voor het script. Gelieve te beoordelen Azure CLI-informatie over uitvoerindelingen en implementeer onze aanbevolen richtlijnen voor het maskeren van een omgevingsvariabele.
3. Roteer sleutels en geheimen regelmatig. Als algemene best practice worden klanten aangemoedigd om sleutels en geheimen regelmatig te rouleren in een ritme dat het beste werkt voor hun omgeving. Zie ons artikel over belangrijke en geheime overwegingen in Azure hier.
4. Bekijk de richtlijnen voor geheimenbeheer voor Azure-services.
5. Bekijk de best practices van GitHub voor het versterken van de beveiliging in GitHub Actions.
6. Zorg ervoor dat GitHub-opslagplaatsen zijn ingesteld op privé, tenzij dit anders openbaar moet zijn.
7. Bekijk de richt lijnen voor het beveiligen van Azure-pijp lijnen.

Microsoft zal enkele wijzigingen aanbrengen na de ontdekking van de CVE-2023-36052-kwetsbaarheid op Azure CLI. Eén van deze veranderingen, zegt het bedrijf, is de implementatie van een nieuwe standaardinstelling die gevoelige gegevens voorkomt informatie die als geheim is bestempeld, wordt niet weergegeven in de uitvoer van opdrachten voor services van Azure familie.

Gebruikers moeten echter updaten naar versie 2.53.1 en hoger van Azure CLI, omdat de nieuwe standaardinstelling niet wordt geïmplementeerd in oudere versies.

De in Redmond gevestigde technologiegigant breidt ook de redactiemogelijkheden uit in zowel GitHub Actions als Azure-pijplijnen om door Microsoft uitgegeven sleutels die openbaar kunnen worden gemaakt, beter te kunnen identificeren en onderscheppen logboeken.

Als u Azure CLI gebruikt, zorg er dan voor dat u het platform nu meteen bijwerkt naar de nieuwste versie om uw apparaat en uw organisatie te beschermen tegen de CVE-2023-36052-kwetsbaarheid.