Die Zero Day Initiative (ZDI) sammelt und verifiziert gemeldete Schwachstellen. Nun gibt es wohl eine kritische Schwachstelle in Azure mit dem höchsten CVSS-Wert 10.0. Auch das BSI warnt vor der Schwachstelle – nur scheint es immer noch keinen Patch dafür zu geben.
Die Details zur kritischen Sicherheitslücke in Azure mit dem CVSS-Wert 10.0 ist nur kurz und knapp beschrieben: “Diese Sicherheitslücke ermöglicht es Remote-Angreifern, die Authentifizierung bei Microsoft Azure zu umgehen. Zum Ausnutzen dieser Sicherheitslücke ist keine Authentifizierung erforderlich.”
Azure gefährdet – kein Patch zu finden
Als weitere Erklärung findet sich ein Hinweis, dass der spezifische Fehler in den Berechtigungen liegt, die einem SAS-Token erteilt werden. Ein Angreifer kann diese Schwachstelle ausnutzen, um einen Supply-Chain-Angriff zu starten und beliebigen Code auf den Endpunkten der Kunden auszuführen. Die ZDI hat die Informationen zu der Schwachstelle bereits vor langer Zeit an Microsoft übergeben: im Oktober 2023. In der Meldung ist sogar ein Link zu finden, welcher zu den Microsoft Security Updates führt. Allerdings ist dort keine Info oder ein Patch zu finden.
Aktuell ist auch noch keine CVE-Nummer vorhanden die das Ganze etwas aufklären könnte. Der veröffentlichte Zeitplan der Offenlegung der Sicherheitslücke zeigt folgendes:
- 03.10.2023 – Sicherheitslücke dem Anbieter gemeldet
- 06.06.2024 – Koordinierte öffentliche Veröffentlichung der Empfehlung
- 07.06.2024 – Empfehlung aktualisiert
Es wird sich zeigen, wie Microsoft in den nächsten Tagen darauf reagiert.
Wer ist die Zero Day Initiative (ZDI)?
Die Zero Day Initiative (ZDI) wurde ins Leben gerufen, um Forscher durch finanzielle Belohnungen dazu zu ermutigen, Zero-Day-Schwachstellen vertraulich an die betroffenen Anbieter zu melden. Damals herrschte in der Informationssicherheitsbranche die Auffassung, dass es sich bei den Entdeckern von Schwachstellen um böswillige Hacker handelt, die Schaden anrichten wollen. Manche glauben das immer noch. Zwar gibt es durchaus geschickte, böswillige Angreifer, aber sie stellen nur eine kleine Minderheit der Gesamtzahl der Personen dar, die tatsächlich neue Schwachstellen in Software entdecken.
Mehr bei ZeroDayInitiative.com