Tenable reveló que su equipo Tenable Cloud Research ha descubierto una vulnerabilidad de alta severidad  en Azure que afecta a más de diez servicios de esta marca, incluso Azure Application Insights, Azure  DevOps, Azure Machine Learning, Azure API Management y Azure Logic Apps. Microsoft no planea  emitir un parche para esta vulnerabilidad; en lugar de ello, ha creado documentación centralizada  para informar a los clientes acerca de los patrones de uso para las etiquetas de servicio. 

La vulnerabilidad permite que un atacante malicioso esquive las reglas del firewall basadas en las  etiquetas de servicio Azure mediante la falsificación de solicitudes desde servicios confiables. Un  actor de amenazas podría explotar las etiquetas de servicio que se han permitido a través del firewall si no existen controles adicionales de validación. Al explotar esta vulnerabilidad, un atacante podría  obtener acceso al servicio Azure de una organización y a otros servicios Azure internos y privados. 

“Esta vulnerabilidad permite que un atacante controle solicitudes falsificadas del lado del servidor,  fingiendo ser un servicio Azure confiable”, explica Liv Matan, ingeniero senior de investigación de  Tenable. “Recomendamos enfáticamente que los clientes tomen acciones inmediatas. Al asegurar  que se mantenga una fuerte autenticación en la red, los usuarios pueden defenderse con una capa  adicional y crucial de seguridad.” 

Los clientes de Azure cuyas reglas de firewall dependen de las etiquetas de servicio Azure para  seguridad están en riesgo por esta vulnerabilidad y deben tomar acciones inmediatas para mitigar  el problema y asegurarse de estar protegidos por capas de autenticación y autorización.