Perşembe günü Microsoft, dünyanın en büyük şirketlerinden bazıları dahil olmak üzere, davetsiz misafirlerin e-postanın bir kopyasını ve bir siber bir araştırmacının bir kopyasına göre, davetsiz misafirlerinin ana veritabanlarını okuma, değiştirme ve hatta silme yeteneğine sahip olabileceği konusunda binlerce bulut bilgisayar müşterisi uyardı.
Güvenlik açığı Microsoft Azure'un amiral gemisi Cosmos DB veritabanında. Güvenlik Şirketi Wiz'deki bir araştırma ekibi, binlerce şirket tarafından tutulan veritabanlarına erişimi kontrol eden tuşlara erişebildiğini keşfetti. WIZ Baş Teknoloji Görevlisi Ami Luttwak, Microsoft'un Cloud Security Grubu'ndaki eski bir baş teknoloji memurudur.
Microsoft bu anahtarları kendi başına değiştiremediğinden, Perşembe günleri yeni olanlar oluşturmalarını söyleyen müşterilere e-postayla gönderdi. Microsoft, Wiz'e gönderdiği bir e-postaya göre, kusur bulmak ve raporlamak için 40.000 $ (kabaca Rs. 30 Lakhs) ödeymeyi kabul etti.
Microsoft, "Müşterilerimizi güvenli ve korumalı tutmak için hemen bu konuyu düzelttik. Microsoft, Reuters'a verdiği demeçte.
Microsoft'un müşterilere e-postası, kusurun sömürüldüğü bir kanıt olmadığını söyledi. E-posta, "Araştırmacı (Wiz) dışındaki dış varlıkların birincil okuma anahtarına erişimi olduğu bir göstergemiz yok" dedi.
"Bu, hayal edebileceğin en kötü bulut güvenlik açığı. Luttwak, Reuttwak, uzun ömürlü bir sır. "Dedi. "Bu, Azure'nin merkezi veritabanıdır ve istediğimiz herhangi bir müşteri veritabanına erişebildik."
Luttwak'ın ekibi, 9 Ağustos'ta Chaosdb'yi Dubbed ve Microsoft 12 Ağustos tarihlerinde bildirdi.
Kusur, yıllarca mevcut olan ancak Şubat ayında başlayan Cosmos'ta varsayılan olarak etkinleştirildi. Reuters kusurunda bildirdikten sonra, WIZ sorunu bir blog yazısında detaylandırır.
Luttwak, Microsoft tarafından bildirilmeyen müşterilerin bile, anahtarları saldırganlar tarafından kaydırılabilir, bu anahtarlar değiştirilene kadar erişim sağlayabilir. Microsoft, yalnızca Müşterilerinin bu ay göründüğü müşterilere, Wiz sorunu üzerinde çalışıyordu.
Microsoft, Reuters'e "Etkilenmiş olabilecek müşterilerimizden bir bildirim aldı" dedi.
Açıklama, Microsoft için aylarca kötü güvenlik haberlerinden sonra gelir. Şirket, Microsoft kaynak kodunu çalan Solarwinds'ü sızan şüpheli Rus hükümet hackerları tarafından ihlal edildi. Sonra çok sayıda bilgisayar korsanı, bir düzeltme eki geliştirilirken Exchange e-posta sunucularına girdi.
Bilgisayarın devralmasına izin verilen bir yazıcı hatası için yeni bir düzeltme, tekrar tekrar tekrar yapılması gerekiyordu. Geçen hafta geçen hafta başka bir Exchange Hükümeti, müşterilerin aylar önce yayınlanan yamaları kurmaları gereken bir ABD hükümeti uyardı.
Azure ile ilgili problemler özellikle rahatsız edicidir, çünkü Microsoft ve dış güvenlik uzmanları şirketleri kendi altyapılarının çoğunu terk etmeye ve daha fazla güvenlik için buluta güvenmeye zorlamışlardır.
Ancak bulut saldırıları daha nadir olsa da, ortaya çıktıklarında daha yıkıcı olabilirler. Dahası, bazıları asla halka açık değildir.
Federal olarak sözleşmeli bir araştırma laboratuvarı, bilinen tüm güvenlik kusurlarını yazılımdaki tüm güvenlik kusurlarını izler ve ciddiyetle değerlendirir. Ancak bulut mimarisinde delikler için eşdeğer bir sistem yoktur, bu nedenle birçok kritik güvenlik açıklığı kullanıcıya açıklanamaz, Luttwak, dedi.
© Thomson Reuters 2021
Kaynak: Gadgets 360