Nächste Schludrigkeit: Wieder liegen sensible Microsoft-Daten offen

Microsoft hat nach einigen Sicherheitsproblemen in letzter Zeit damit zu tun, das Vertrauen der Kunden wiederzugewinnen. Da dürfte es schlecht passen, dass Sicherheitsforscher auf einen gravierenden Mangel hinweisen mussten: Diesmal war es ein komplett offener Speicher.

Azure-Speicher ohne Passwort

Mitarbeiter des Security--Unternehmens SOCRadar wiesen den Redmonder Konzern vor einiger Zeit auf einen Speicherserver hin, der von Außen völlig öffentlich zugänglich war. Nicht einmal ein einfacher Passwortschutz hielt neugierige Besucher davon ab, an die Inhalte zu gelangen, berichtete das US-Magazin TechCrunch.

Der Azure-Speicherserver enthielt demnach Code, Skripte und Konfigurationsdateien mit Passwörtern, Schlüsseln und Anmeldeinformationen, die von den Microsoft-Mitarbeitern für den Zugriff auf andere interne Datenbanken und Systeme verwendet wurden. Wären weniger wohlmeinende User auf die Sache aufmerksam geworden, hätte es zu größeren Datenlecks oder Störungen verschiedener Dienste kommen können.


Die SOCRadar-Forscher informierten Microsoft laut des Berichts bereits am 6. Februar über die Sicherheitslücke. Der Zugang zu dem System wurde dann allerdings erst am 5. März abgestellt, hieß es. Warum dies so lange dauerte, lässt sich kaum sagen - es deutet aber darauf hin, dass die internen Prozesse zur Reaktion auf solche sicherheitsrelevanten Meldungen noch immer nicht besonders gut funktionieren.

Redmond hält sich bedeckt

Es ist nicht bekannt, wie lange der Cloud-Server dem Internet ausgesetzt war und ob jemand anderes als die SOCRadar-Mitarbeiter die darin befindlichen Daten entdeckt hat. Ein Sprecher Microsofts, der von den TechCrunch-Kollegen per E-Mail kontaktiert wurde, gab bisher keinen Kommentar ab. Bisher war auch nicht zu erfahren, ob die auf dem Server zu findenden Anmeldedaten zu anderen Diensten inzwischen geändert wurden.

Dies ist nicht die erste Schwachstelle, die in letzter Zeit bei Microsoft aufgrund von Nachlässigkeiten entstanden ist. Bei einem ähnlichen Problem im letzten Jahr fanden Sicherheitsforscher heraus, dass Microsoft-Mitarbeiter ihre eigenen Firmennetzwerk-Log-ins in Code, der auf GitHub veröffentlicht wurde, offenlegten.


Siehe auch: