Peinlicher Azure-Bug: Passwortloser Login funktionierte bei VMs schon
entdeckten, gaben ihm den Namen OMIGOD. Dies spielt einerseits auf ihre Reaktion an, als sie den Fehler entdeckten, als auch daran, dass diesem die Open Management Infrastructure (OMI) Microsofts zugrunde liegt. Microsoft hat inzwischen eine Aktualisierung in seinen Datenzentren verteilt, die das Problem aus der Welt schaffen sollte.
"Das ist eine Remote Code Execution-Schwachstelle aus dem Lehrbuch, wie man sie in den 1990ern noch erwartet hätte. Es ist sehr ungewöhnlich, dass 2021 so etwas noch auftaucht und Millionen Nutzer angreifbar macht", erklärte Wiz-Sicherheitsforscher Nir Ohfeld. Angreifer mussten sich hier gar nicht erst damit aufhalten, mit ausgeklügelten Methoden Bugs in einem Authentifizierungs-System auszunutzen.
Scans der Sicherheitsforscher kamen zu dem Ergebnis, dass rund 65 Prozent der Linux-Instanzen, die von Azure-Nutzern betrieben wurden, auf diesem Weg angreifbar waren. Kunden sollten nun darauf achten, dass die OMI-Installation in ihrer VM mindestens die Version 1.6.81 aufweist. Meist dürften die entsprechenden Updates automatisch in den Systemen landen. Nutzer des System Center sollten allerdings unbedingt manuell prüfen, auf welchem Stand OMI ist, da hier teils keine automatischen Aktualisierungen eingespielt werden.
Und wer den Schaden hat, muss auf den Spott nicht lange warten. Microsoft hatte immerhin kürzlich groß dafür geworben, dass man den Zugang zum Microsoft-Account demnächst ohne Passwort-Eingabe bekommen kann. Bei Azure-VMs sei das sogar heute schon möglich, scherzte man entsprechend in der Security-Szene.
Siehe auch:
Die Sicherheitsforscher des Unternehmens Wiz, die das Problem "Das ist eine Remote Code Execution-Schwachstelle aus dem Lehrbuch, wie man sie in den 1990ern noch erwartet hätte. Es ist sehr ungewöhnlich, dass 2021 so etwas noch auftaucht und Millionen Nutzer angreifbar macht", erklärte Wiz-Sicherheitsforscher Nir Ohfeld. Angreifer mussten sich hier gar nicht erst damit aufhalten, mit ausgeklügelten Methoden Bugs in einem Authentifizierungs-System auszunutzen.
Viele Kunden betroffen
Vielmehr genügte es, den Authorization-Header komplett von einer Anfrage abzuschneiden. In diesem Moment ordnete das System dem Request uid=0 und gid=0 zu - was in der Praxis bedeutete, dass hier direkt ein Root-Zugang bereitgestellt wurde. Wenn OMI dann noch die Ports 5986, 5985 oder 1270 von außen erreichbar machte, was glücklicherweise nicht immer der Fall war, konnte quasi jeder ohne größeren Aufwand mit allen Rechten auf virtuelle Maschinen in der Microsoft-Cloud zugreifen.Scans der Sicherheitsforscher kamen zu dem Ergebnis, dass rund 65 Prozent der Linux-Instanzen, die von Azure-Nutzern betrieben wurden, auf diesem Weg angreifbar waren. Kunden sollten nun darauf achten, dass die OMI-Installation in ihrer VM mindestens die Version 1.6.81 aufweist. Meist dürften die entsprechenden Updates automatisch in den Systemen landen. Nutzer des System Center sollten allerdings unbedingt manuell prüfen, auf welchem Stand OMI ist, da hier teils keine automatischen Aktualisierungen eingespielt werden.
Und wer den Schaden hat, muss auf den Spott nicht lange warten. Microsoft hatte immerhin kürzlich groß dafür geworben, dass man den Zugang zum Microsoft-Account demnächst ohne Passwort-Eingabe bekommen kann. Bei Azure-VMs sei das sogar heute schon möglich, scherzte man entsprechend in der Security-Szene.
Siehe auch:
Thema:
Beliebte Downloads
Bilder zum Thema Cloud
Beiträge aus dem Forum
-
OneDrive Dokumentenordner Konfusion - Hilfe!
blommberg -
CloudFest Hackathon 2023 mit innovativen WordPress-Projekte:....
el_pelajo -
KeePass mit Google Drive
PC.Nutzer -
rklone, insinc, GNOME, KDE etc: .zur nativen Verwendung Google Drive
el_pelajo -
Gruppieren von Textfeld und PNG Icon (Word Office 365)
Hideko1994 -
Office 365 und Windows Benutzerkontensteuerung
Bassman -
oneDrive nach PC Rücksetzen unvollständig
Hideko1994 -
GitHub Codespaces - die cloudbasierte Entwicklungsumgebung mit vielen
el_pelajo -
Office 365 - Sync AD (2012R2)
der dom -
OneDrive doppelt ?
hjhkl43
Interessante Links
Beliebt im Preisvergleich
- NAS-Systeme:
Neue Nachrichten
- Aktuelle Technik-Blitzangebote von Amazon im Überblick
- FritzBox wird heute 20 Jahre: Geschichte von 8 MBit/s bis 10 GBit/s
- Microsoft kündigt zweites Event an: Surface mit KI & ARM-CPUs kommt
- Es werde Licht: Forscher wollen einige der ersten Sterne entdeckt haben
- PS5 Pro mit Power-Modus für CPU: Details zur stärkeren PlayStation 5
- Spieler live gehackt: Turnier gestoppt, Gerüchte kursieren, EA schweigt
- Letzte Chance: Garmin-Smartwatches zum Bestpreis bei Media Markt
❤ WinFuture unterstützen
Sie wollen online einkaufen?
Dann nutzen Sie bitte einen der folgenden Links,
um WinFuture zu unterstützen:
Vielen Dank!
Alle Kommentare zu dieser News anzeigen