La vulnérabilité critique trouvée dans le service Azure Health Bot de Microsoft a désormais été corrigée. Il a permis la falsification de requêtes côté serveur (SSRF) et a permis l'accès au service de métadonnées interne.
L'équipe de recherche Tenable a découvert plusieurs vulnérabilités d'élévation de privilèges dans Azure Health Bot Service à l'aide de Server-Side Request Forgery (SSRF). Ces vulnérabilités ont permis aux chercheurs d'accéder au service de métadonnées internes (IMDS) du service, puis de fournir des jetons d'accès pouvant être utilisés pour gérer les ressources entre locataires. En exploitant cette vulnérabilité, un acteur malveillant aurait pu accéder à des centaines de ressources client Azure. Tenable Research a immédiatement signalé les vulnérabilités à Microsoft dès qu'il est devenu clair que des données hautement sensibles étaient affectées.
Service cloud vulnérable dans le secteur de la santé
Azure Health Bot Service est une plateforme cloud qui permet aux professionnels de santé d'utiliser des assistants virtuels basés sur l'IA. Essentiellement, le service permet aux prestataires de soins de santé de proposer à leurs patients des chatbots qui gèrent des flux de travail administratifs limités. À cette fin, ces chatbots ont accès aux données sensibles des patients, même si les informations disponibles peuvent varier en fonction de la configuration du bot respectif.
« Compte tenu du niveau d'accès, il aurait probablement été possible de migrer latéralement vers d'autres ressources dans les environnements clients », explique Jimi Sebree, ingénieur de recherche senior chez Tenable. "Les vulnérabilités étaient dues à une faille dans l'architecture sous-jacente du service de chatbot plutôt qu'aux modèles d'IA eux-mêmes. Cela souligne l'importance continue de la sécurité des applications Web classiques et du cloud à l'ère des chatbots alimentés par l'IA."
Abonnez-vous à la newsletter maintenant
Lisez les meilleures nouvelles de B2B CYBER SECURITY une fois par moisMicrosoft a confirmé que des mesures correctives ont été prises pour tous les services et régions concernés. Aucune action n'est requise de la part de l'utilisateur.
Plus sur Tenable.com
À propos de Tenable Tenable est une entreprise de cyber-exposition. Plus de 24.000 53 entreprises dans le monde font confiance à Tenable pour comprendre et réduire les cyber-risques. Les inventeurs de Nessus ont combiné leur expertise en matière de vulnérabilité dans Tenable.io, offrant la première plate-forme du secteur qui offre une visibilité en temps réel et sécurise n'importe quel actif sur n'importe quelle plate-forme informatique. La clientèle de Tenable comprend 500 % du Fortune 29, 2000 % du Global XNUMX et de grandes agences gouvernementales.