BSI und Zero Day Initiative warnt vor kritischer Azure Schwachstelle  

B2B Cyber Security ShortNews

Beitrag teilen

Die Zero Day Initiative (ZDI) sammelt und verifiziert gemeldete Schwachstellen. Nun gibt es wohl eine kritische Schwachstelle in Azure mit dem höchsten CVSS-Wert 10.0. Auch das BSI warnt vor der Schwachstelle – nur scheint es immer noch keinen Patch dafür zu geben.

Die Details zur kritischen Sicherheitslücke in Azure mit dem CVSS-Wert 10.0 ist nur kurz und knapp beschrieben: “Diese Sicherheitslücke ermöglicht es Remote-Angreifern, die Authentifizierung bei Microsoft Azure zu umgehen. Zum Ausnutzen dieser Sicherheitslücke ist keine Authentifizierung erforderlich.”

Azure gefährdet – kein Patch zu finden

Als weitere Erklärung findet sich ein Hinweis, dass der spezifische Fehler in den Berechtigungen liegt, die einem SAS-Token erteilt werden. Ein Angreifer kann diese Schwachstelle ausnutzen, um einen Supply-Chain-Angriff zu starten und beliebigen Code auf den Endpunkten der Kunden auszuführen. Die ZDI hat die Informationen zu der Schwachstelle bereits vor langer Zeit an Microsoft übergeben: im Oktober 2023. In der Meldung ist sogar ein Link zu finden, welcher zu den Microsoft Security Updates führt. Allerdings ist dort keine Info oder ein Patch zu finden.

Aktuell ist auch noch keine CVE-Nummer vorhanden die das Ganze etwas aufklären könnte. Der veröffentlichte Zeitplan der Offenlegung der Sicherheitslücke zeigt folgendes:

  • 03.10.2023 – Sicherheitslücke dem Anbieter gemeldet
  • 06.06.2024 – Koordinierte öffentliche Veröffentlichung der Empfehlung
  • 07.06.2024 – Empfehlung aktualisiert

Es wird sich zeigen, wie Microsoft in den nächsten Tagen darauf reagiert.

Wer ist die Zero Day Initiative (ZDI)?

Die Zero Day Initiative (ZDI) wurde ins Leben gerufen, um Forscher durch finanzielle Belohnungen dazu zu ermutigen, Zero-Day-Schwachstellen vertraulich an die betroffenen Anbieter zu melden. Damals herrschte in der Informationssicherheitsbranche die Auffassung, dass es sich bei den Entdeckern von Schwachstellen um böswillige Hacker handelt, die Schaden anrichten wollen. Manche glauben das immer noch. Zwar gibt es durchaus geschickte, böswillige Angreifer, aber sie stellen nur eine kleine Minderheit der Gesamtzahl der Personen dar, die tatsächlich neue Schwachstellen in Software entdecken.

Mehr bei ZeroDayInitiative.com

 

Passende Artikel zum Thema

Schutzlösungen für MacOS Sonoma im Test

Der große Test von Schutz-Software für Unternehmen und Einzelplatz-PCs für MacOS fand im AV-TEST-Labor erstmals unter der MacOS Version Sonoma ➡ Weiterlesen

BSI: Neue Studie zu Hardware-Trojaner 

Das BSI hat eine Studie veröffentlicht zu Manipulationsmöglichkeiten von Hardware in verteilten Fertigungsprozessen. Dabei geht es um versteckte Chips auf ➡ Weiterlesen

Intel schließt kritische und hochgefährliche Sicherheitslücken

Fast etwas unauffällig hat Intel viele Sicherheitslücken in seinen Produkten geschlossen. Mit dabei sind eine kritische Lücke mit dem CVSS-Wert ➡ Weiterlesen

Win 11 Copilot+ Recall: Microsoft baut auf Druck IT-Security ein

Kurz nachdem Microsoft Chef Satya Nadella Copilot+ Recall für Windows 11 vorgestellt hatte, haben Experten in Sachen IT-Security vernichtende Urteile ➡ Weiterlesen

BSI und Zero Day Initiative warnt vor kritischer Azure Schwachstelle  

Die Zero Day Initiative (ZDI) sammelt und verifiziert gemeldete Schwachstellen. Nun gibt es wohl eine kritische Schwachstelle in Azure mit dem ➡ Weiterlesen

Hoffnung für Unternehmen: FBI hat 7.000 LockBit Ransomware-Keys

Bereits im Februar und im Mai startete FBI, Europol und viele andere Behörden die Operationen gegen die Ransomware-Erpresser LockBit. Dabei ➡ Weiterlesen

Microsofts Copilot+ Recall: Gefährliche Totalüberwachung?

Microsoft sieht es als Superservice, Security-Experten als Super-GAU: Microsofts Copilot+ Recall für Windows 11 zeichnet alle 5 Sekunden die Tätigkeiten ➡ Weiterlesen

Google-Leak: Datenbank belegt Datenpannen

Einem Journalist wurde eine Google-Datenbank zugespielt die tausende interne Datenpannen von 2013 bis 2018 enthalten und intern bei Google gelöst ➡ Weiterlesen