CVE-2023-36052 poate expune informații confidențiale în jurnalele publice.
Se pare că Azure CLI (Azure Command-Line Interface) a fost expus un risc mare de a expune informații sensibile, inclusiv acreditările, ori de câte ori cineva ar interacționa cu jurnalele GitHub Actions de pe platformă, conform cea mai recentă postare pe blog de la Centrul de răspuns de securitate Microsoft.
MSRC a fost informat despre vulnerabilitatea, numită acum CVE-2023-36052, de către un cercetător care a descoperit că modificarea Azure Comenzile CLI ar putea duce la afișarea datelor sensibile și a rezultatelor către Integrare continuă și Implementare continuă (CI/CD) busteni.
Nu este prima dată când cercetătorii descoperă că produsele Microsoft sunt vulnerabile. La începutul acestui an, o echipă de cercetători a făcut Microsoft conștient că Teams este foarte predispus la malware modern, inclusiv atacuri de tip phishing. Produsele Microsoft sunt atât de vulnerabile că 80% din conturile Microsoft 365 au fost sparte în 2022, singur.
Amenințarea vulnerabilității CVE-2023-36052 era un astfel de risc, încât Microsoft a luat imediat măsuri pe toate platformele și Produse Azure, inclusiv Azure Pipelines, GitHub Actions și Azure CLI și infrastructură îmbunătățită pentru a rezista mai bine la astfel de reglare.
Ca răspuns la raportul lui Prisma, Microsoft a făcut mai multe modificări în diferite produse, inclusiv Azure Pipelines, GitHub Actions și Azure CLI, pentru a implementa redactarea secretă mai robustă. Această descoperire evidențiază nevoia din ce în ce mai mare de a se asigura că clienții nu înregistrează informații sensibile în depozitele lor și conductele CI/CD. Minimizarea riscului de securitate este o responsabilitate comună; Microsoft a lansat o actualizare pentru Azure CLI pentru a ajuta la prevenirea ieșirii secretelor, iar clienții sunt de așteptat să fie proactivi în luarea măsurilor pentru a-și asigura încărcăturile de lucru.
Microsoft
Ce puteți face pentru a evita riscul de a pierde informații sensibile din cauza vulnerabilității CVE-2023-36052?
Gigantul tehnologic din Redmond spune că utilizatorii ar trebui să actualizeze Azure CLI la cea mai recentă versiune (2.54) cât mai curând posibil. După actualizare, Microsoft dorește, de asemenea, ca utilizatorii să urmeze acest ghid:
- Actualizați întotdeauna Azure CLI la cea mai recentă versiune pentru a primi cele mai recente actualizări de securitate.
- Evitați expunerea ieșirii Azure CLI în jurnale și/sau locații accesibile public. Dacă dezvoltați un script care necesită valoarea de ieșire, asigurați-vă că filtrați proprietatea necesară pentru script. Te rog revizuieste Informații Azure CLI privind formatele de ieșire și implementați recomandarea noastră îndrumări pentru mascarea unei variabile de mediu.
- Rotiți cheile și secretele în mod regulat. Ca cea mai bună practică generală, clienții sunt încurajați să rotească în mod regulat cheile și secretele la o cadență care funcționează cel mai bine pentru mediul lor. Consultați articolul nostru despre considerente cheie și secrete în Azure Aici.
- Consultați îndrumările privind gestionarea secretelor pentru serviciile Azure.
- Examinați cele mai bune practici GitHub pentru consolidarea securității în GitHub Actions.
- Asigurați-vă că depozitele GitHub sunt setate la private, dacă nu este necesar să fie publice.
- Consultați îndrumările pentru securizarea Azure Pipelines.
Microsoft va face unele modificări în urma descoperirii vulnerabilității CVE-2023-36052 pe Azure CLI. Una dintre aceste modificări, spune compania, este implementarea unei noi setări implicite care împiedică sensibilitatea informațiile etichetate ca secrete pentru a nu fi prezentate în ieșirea comenzilor pentru serviciile din Azure familie.
Cu toate acestea, utilizatorii vor trebui să se actualizeze la versiunea 2.53.1 și mai sus a Azure CLI, deoarece noua setare implicită nu va fi implementată pe versiunile mai vechi.
Gigantul tehnologic din Redmond extinde, de asemenea, capacitățile de redactare atât în GitHub Actions, cât și Azure Pipelines pentru a identifica și a captura mai bine orice chei emise de Microsoft care pot fi expuse în public busteni.
Dacă utilizați Azure CLI, asigurați-vă că actualizați platforma la cea mai recentă versiune chiar acum pentru a vă proteja dispozitivul și organizația împotriva vulnerabilității CVE-2023-36052.
