Microsoft schließt bekannte Sicherheitslücke erst nach 100 Tagen

Microsoft schließt bekannte Sicherheitslücke erst nach 100 Tagen

Beitrag teilen

Orca Security bemängelt die langsame Reaktion von Microsoft beim Beheben der SynLapse-Sicherheitslücke die erst nach 100 Tagen geschlossen wurde. Weitere Isolation und Härtung zur besseren Cloud-Sicherheit wird empfohlen. 

Obwohl es sich bei SynLapse (CVE-2022-29972) um eine kritische Sicherheitslücke handelt, hat Microsoft über 100 Tage gebraucht, um die erforderlichen Schritte zur Behebung der Sicherheitslücke durchzuführen.

100 Tage offene Sicherheitslücke

Nachdem Microsoft am 4. Januar über die SynLapse-Schwachstelle informiert wurde und nach mehreren Follow-ups wurde der erste Patch erst im März bereitgestellt, was Orca Security jedoch umgehen konnte. Microsoft hat die ursprüngliche Schwachstelle schließlich am 10. April behoben, aber Orca Security ist der Meinung, dass das zugrundeliegende Problem der Mandantentrennung auf Infrastrukturebene zu lange ausgenutzt werden konnte.

SynLapse – Technische Details zur kritischen Schwachstelle in Azure Synapse

Ein Angriffsvektor ist nun endlich geschlossen, zusätzliche Härtung ist zu empfehlen. Der aktuelle Blog von Orca Security beschreibt die technischen Details von SynLapse, als Fortsetzung des vorherigen Blogs. Orca hat mit der Veröffentlichung bis jetzt gewartet, um Synapse-Kunden Zeit zu geben, ihre lokalen Versionen zu patchen und ihre Nutzung von Azure Synapse zu überdenken. MSRC hat mehrere Verbesserungen vorgenommen und arbeitet weiter an einer umfassenden Tenant-Isolation.

Tzah Pahima, Forscher bei Orca Security, wird die Entdeckung von SynLapse zugeschrieben – einer kritischen Sicherheitslücke in Microsoft Azure Synapse Analytics, die auch Azure Data Factory betraf. Sie ermöglichte es Angreifern, die Mandantentrennung zu umgehen und gleichzeitig folgende Fähigkeiten zu erlangen:

  • Zugangsdaten für andere Azure-Synapse-Kundenkonten zu erlangen.
  • Kontrolle über deren Azure-Synapse-Arbeitsbereiche.
  • Code auf gezielten Kundenrechnern innerhalb des Azure Synapse Analytics-Dienstes auszuführen.
  • Weitergabe von Kundenzugangsdaten an Datenquellen außerhalb von Azure.

Ein Angreifer, der nur den Namen eines Azure Synapse-Arbeitsbereichs kennt, könnte wie dieses Video zeigt auf folgende Weise die in Synapse eingegebenen Zugangsdaten eines Opfers ausspähen.

Was ist Azure Synapse Analytics?

Azure Synapse Analytics importiert und verarbeitet Daten aus vielen Kundendatenquellen (z. B. CosmosDB, Azure Data Lake und externen Quellen wie Amazon S3).

Jede Synapse-Instanz wird als Workspace bezeichnet. Um Daten aus einer externen Datenquelle zu importieren und zu verarbeiten, gibt ein Kunde Zugangsdaten und relevante Daten ein und stellt dann über eine Integration Runtime eine Verbindung zu dieser Quelle her – eine Maschine, die eine Verbindung zu vielen verschiedenen Datenquellen herstellt.

Integration Runtimes können entweder selbst (On-Premises) oder in der Azure Cloud gehostet werden (über die Azure Data Factory Integration Runtime). In der Cloud gehostete Azure IRs können auch mit einem Managed Virtual Network (VNet) konfiguriert werden, um private Endpunkte für externe Verbindungen zu verwenden, was zusätzliche Isolationsebenen bieten kann.

Wie kritisch war SynLapse?

SynLapse ermöglichte es Angreifern, über einen internen Azure-API-Server, der die Integration Runtimes verwaltet, auf Synapse-Ressourcen zuzugreifen, die anderen Kunden gehören. Da das Orca-Team den Namen eines Arbeitsbereichs kannte, war es in der Lage, Folgendes durchzuführen:

  • Autorisierung innerhalb anderer Kundenkonten zu erlangen, während des Agierens als Synapse Workspace. Je nach Konfiguration hätte das Team auf noch mehr Ressourcen innerhalb eines Kundenkontos zugreifen können.
  • Auslesen von Zugangsdaten, die Kunden in ihrem Synapse-Arbeitsbereich gespeichert haben.
  • Kommunikation mit den Integration Runtimes anderer Kunden. Das Orca-Team konnte dies nutzen, um Remote-Code (RCE) auf den Integration Runtimes eines beliebigen Kunden auszuführen.
  • Kontrolle über den Azure-Batch-Pool, der alle gemeinsam genutzten Integration Runtimes verwaltet. Orca war in der Lage, Code auf jeder Instanz auszuführen.

Zukünftige Entschärfung

Nach Gesprächen mit Microsoft ist Orca Security nun der Ansicht, dass Azure Synapse Analytics sicher ist und eine ausreichende Tenant-Isolation bietet. Aus diesem Grund hat Orca die Warnmeldungen zu Synapse aus der Orca Cloud Security-Plattform entfernt. Microsoft arbeitet weiterhin an zusätzlicher Isolation und Härtung.

Mehr bei Orca.security

 


Über Orca Security

Orca Security bietet sofortige Sicherheit und Compliance für AWS, Azure und GCP – ohne die Lücken in der Abdeckung, die Ermüdung durch Alarme und die Betriebskosten von Agenten oder Sidecars. Vereinfachen Sie die Cloud-Sicherheitsabläufe mit einer einzigen CNAPP-Plattform für den Schutz von Workloads und Daten, Cloud Security Posture Management (CSPM), Schwachstellenmanagement und Compliance. Orca Security priorisiert Risiken auf der Grundlage des Schweregrads des Sicherheitsproblems, der Zugänglichkeit und der geschäftlichen Auswirkungen.


 

Passende Artikel zum Thema

Bedrohungen erkennen und abwehren

In der heutigen, durch Digitalisierung geprägten Unternehmenslandschaft erfordert der Kampf gegen Bedrohungen einen kontinuierlichen, proaktiven und ganzheitlichen Ansatz. Open Extended ➡ Weiterlesen

Backup für Microsoft 365 – neue Erweiterung

Eine einfache und flexible Backup-as-a-Service-(BaaS)-Lösung erweitert Datensicherungs- und Ransomware Recovery-Funktionalitäten für Microsoft 365. Dadurch verkürzen sich die Ausfallszeiten bei einem ➡ Weiterlesen

Cloud Sicherheit: Das ist 2024 wichtig

Einschneidende Ereignisse wie die Pandemie oder Kriege hatten die Fachkundigen in der Vergangenheit nicht auf dem Schirm. Ein Experte für ➡ Weiterlesen

Tipps für die Umsetzung der Richtlinie NIS2

Der richtige Einsatz von Cyber Security ist inzwischen wichtiger denn je. Aufgrund der zunehmenden Bedrohungen wächst das Angriffsrisiko stetig. Das ➡ Weiterlesen

Security Cloud Enterprise Edition als Managed Service

„Cyber Resilience as a Service“ ermöglicht Unternehmen jeder Größe beim MSP SVA Rubriks Portfolio für mehr Datensicherheit zu beziehen. Rubrik ➡ Weiterlesen

Microsoft Defender lässt sich austricksen

In Microsofts Virenschutzprogramm Defender steckt eine Komponente, die eine Ausführung von Schadcode mithilfe von rundll32.exe erkennen und unterbinden soll. Dieser ➡ Weiterlesen

Unveränderlicher Speicher schützt vor Attacken

Eine Umfrage unter Cybersecurity-Experten aus Unternehmen mit mehr als 1.000 Mitarbeitern bestätigt, dass mit 46 Prozent fast die Hälfte der ➡ Weiterlesen

Globale Bedrohungen: Datenschutz für lokale Daten

Ransomware-Angriffe, Data Stealer-Attacken, Exploits für Schwachstellen: Auch wenn die Attacken global ablaufen, so zielen sie doch auf eine lokale, teile ➡ Weiterlesen