ओर्का सिक्योरिटी माइक्रोसॉफ्ट की ओर से सिनालेप्स भेद्यता को ठीक करने में धीमी प्रतिक्रिया की आलोचना करती है, जिसे केवल 100 दिनों के बाद बंद कर दिया गया था। बेहतर क्लाउड सुरक्षा के लिए और अलगाव और सख्त करने की सिफारिश की जाती है।
हालाँकि SynLapse (CVE-2022-29972) एक गंभीर भेद्यता है, भेद्यता को हल करने के लिए आवश्यक चरणों को पूरा करने में Microsoft को 100 दिनों से अधिक का समय लगा है।
100 दिन खुली भेद्यता
4 जनवरी को Microsoft को SynLapse भेद्यता के बारे में सूचित किए जाने के बाद और कई अनुवर्ती कार्रवाई के बाद, पहला पैच केवल मार्च में प्रदान किया गया था, जिसे Orca Security बायपास करने में सक्षम था। Microsoft ने आखिरकार 10 अप्रैल को मूल भेद्यता को ठीक कर दिया, लेकिन ओर्का सुरक्षा का मानना है कि बुनियादी ढांचे के स्तर के किरायेदार अलगाव की अंतर्निहित समस्या का बहुत लंबे समय से शोषण किया गया है।
SynLapse - Azure Synapse में गंभीर भेद्यता का तकनीकी विवरण
एक हमले के वेक्टर को अब अंत में बंद कर दिया गया है, अतिरिक्त सख्त होने की सिफारिश की गई है। ओर्का सिक्योरिटी का नवीनतम ब्लॉग पिछले ब्लॉग की निरंतरता के रूप में सिनालेप्स के तकनीकी विवरण का वर्णन करता है। ओर्का ने सिनैप्स ग्राहकों को उनके ऑन-प्रिमाइसेस संस्करणों को पैच करने और एज़्योर सिनैप्स के उपयोग पर पुनर्विचार करने के लिए समय देने के लिए अब तक रिलीज में देरी की है। MSRC ने कई सुधार किए हैं और व्यापक किरायेदार अलगाव की दिशा में काम करना जारी रखा है।
Orca Security के एक शोधकर्ता Tzah Pahima को SynLapse की खोज करने का श्रेय दिया जाता है - Microsoft Azure Synapse Analytics में एक महत्वपूर्ण भेद्यता जिसने Azure डेटा फ़ैक्टरी को भी प्रभावित किया। इसने हमलावरों को निम्नलिखित की क्षमता हासिल करते हुए किरायेदार अलगाव को बायपास करने की अनुमति दी:
- अन्य Azure Synapse ग्राहक खातों के लिए क्रेडेंशियल्स प्राप्त करें।
- उनके Azure Synapse कार्यस्थानों पर नियंत्रण रखें।
- Azure Synapse Analytics सेवा के भीतर लक्षित ग्राहक मशीनों पर कोड चलाएँ।
- Azure के बाहर डेटा स्रोतों के लिए ग्राहक क्रेडेंशियल्स का प्रकटीकरण।
एक हमलावर जो केवल Azure Synapse कार्यक्षेत्र का नाम जानता है जैसा कि इस वीडियो में दिखाया गया है, सिनैप्स में पीड़ित के क्रेडेंशियल्स की जासूसी निम्नलिखित तरीके से कर सकता है.
एज़्योर सिनैप्स एनालिटिक्स क्या है?
Azure Synapse Analytics कई ग्राहक डेटा स्रोतों (जैसे CosmosDB, Azure Data Lake और Amazon S3 जैसे बाहरी स्रोतों) से डेटा आयात और संसाधित करता है।
प्रत्येक सिनैप्स उदाहरण को कार्यक्षेत्र कहा जाता है। बाहरी डेटा स्रोत से डेटा आयात और संसाधित करने के लिए, ग्राहक क्रेडेंशियल्स और प्रासंगिक डेटा दर्ज करता है, और फिर एकीकरण रनटाइम के माध्यम से उस स्रोत से जुड़ता है - एक मशीन जो कई अलग-अलग डेटा स्रोतों से जुड़ती है।
एकीकरण रनटाइम या तो स्व-होस्ट (ऑन-प्रिमाइसेस) हो सकता है या Azure क्लाउड में होस्ट किया जा सकता है (Azure Data Factory इंटीग्रेशन रनटाइम के माध्यम से)। क्लाउड में होस्ट किए गए Azure IR को प्रबंधित वर्चुअल नेटवर्क (VNet) के साथ कॉन्फ़िगर किया जा सकता है ताकि बाहरी कनेक्शन के लिए निजी समापन बिंदु का उपयोग किया जा सके, जो आइसोलेशन की अतिरिक्त परतें प्रदान कर सकता है।
SynLapse कितना महत्वपूर्ण था?
SynLapse ने हमलावरों को आंतरिक Azure API सर्वर के माध्यम से अन्य ग्राहकों के स्वामित्व वाले Synapse संसाधनों तक पहुँचने की अनुमति दी जो एकीकरण रनटाइम का प्रबंधन करता है। क्योंकि ओर्का टीम को कार्यक्षेत्र का नाम पता था, वे निम्नलिखित कार्य करने में सक्षम थे:
- Synapse कार्यक्षेत्र के रूप में कार्य करते हुए अन्य ग्राहक खातों के भीतर प्राधिकरण प्राप्त करें। कॉन्फ़िगरेशन के आधार पर, टीम ग्राहक खाते के भीतर और भी अधिक संसाधनों तक पहुँच सकती थी।
- ग्राहकों द्वारा उनके Synapse कार्यक्षेत्र में संग्रहीत क्रेडेंशियल्स पढ़ना।
- अन्य ग्राहकों के एकीकरण रनटाइम के साथ संचार। ओर्का टीम किसी भी ग्राहक के इंटीग्रेशन रनटाइम पर रिमोट कोड (आरसीई) चलाने के लिए इसका उपयोग करने में सक्षम थी।
- Azure बैच पूल पर नियंत्रण जो सभी साझा एकीकरण रनटाइम का प्रबंधन करता है। ओर्का किसी भी उदाहरण पर कोड चलाने में सक्षम था।
भविष्य शमन
Microsoft के साथ विचार-विमर्श के बाद, Orca Security का मानना है कि Azure Synapse Analytics सुरक्षित है और पर्याप्त टेनेंट आइसोलेशन प्रदान करता है। इस वजह से, ओर्का ने सिनैप्स अलर्ट्स को ओर्का क्लाउड सिक्योरिटी प्लेटफॉर्म से हटा दिया है। Microsoft अतिरिक्त आइसोलेशन और हार्डनिंग पर काम करना जारी रखता है।
Orca.security पर अधिक
ओर्का सुरक्षा के बारे में Orca Security AWS, Azure, और GCP के लिए लीक से हटकर सुरक्षा और अनुपालन प्रदान करता है—बिना कवरेज, अलर्ट थकान, और एजेंटों या साइडकार की परिचालन लागत में अंतराल के बिना। वर्कलोड और डेटा सुरक्षा, क्लाउड सुरक्षा मुद्रा प्रबंधन (CSPM), भेद्यता प्रबंधन और अनुपालन के लिए एकल CNAPP प्लेटफ़ॉर्म के साथ क्लाउड सुरक्षा संचालन को सरल बनाएँ। ओर्का सुरक्षा सुरक्षा मुद्दे की गंभीरता, पहुंच और व्यावसायिक प्रभाव के आधार पर जोखिमों को प्राथमिकता देती है।