The微软 Hacker News 网站披露，研究人员发现微软 Azure 中存在一个”设计缺陷 ”，暴露一旦攻击者成功利用，存储便可以访问存储帐户，账户甚至可在内部系统环境中横向移动，设计缺陷执行远程代码。微软
The Hacker News 在与 Orca 分享的一份新报告中表示，攻击者可以利用该缺陷，存储通过操纵 Azure 功能窃取更高特权身份的账户访问令牌、横向移动、秘密访问关键业务资产和执行远程代码(RCE)，甚至有可能滥用和利用 Microsoft 存储帐户。
从微软的说法来看，Azure 在创建存储帐户时会生成两个 512 位的存储帐户访问密钥，这些密钥可用于通过共享密钥授权或通过使用共享密钥签名的 SAS令牌授权对数据的访问。更危险的是，这些访问密钥可以通过操纵 Azure 功能来窃取，这就给威胁攻击者留下了升级权限并接管系统的“后门”。
因为在部署 Azure Function 应用程序时会创建一个专用存储帐户，如果使用管理员身份来调用 Function 应用程序，则可能会滥用该标识来执行任何命令。Orca 研究人员 Roi Nisimi 指出一旦攻击者获得了具有强托管身份的 Function 应用程序的存储帐户，就可以代表自己运行代码，从而获得订阅权限升级(PE)，攻击者就可以者可以提升权限、横向移动、访问新资源，并在虚拟机上执行反向 shell 了。
至于缓解措施，Orca 建议企业考虑禁用 Azure 共享密钥授权，改用 Azure 活动目录认证。在微软发布的一份报告中，微软表示计划更新 Functions 客户端工具与存储帐户的工作方式，包括对使用身份更好地支持场景的更改。
值得一提的是，微软几周前修补了影响 Azure Active Directory 的错误配置漏洞以及 Azure Service Fabric Explorer(SFX)中反映的 XSS 漏洞，前者可能会篡改 Bing 搜索结果，后者可能导致未经验证的远程代码执行。
责任编辑：赵宁宁 来源： FreeBuf.COM 漏洞网络安全(责任编辑：焦点)
今年一季度，兵器装备集团生产经营、改革发展和党的建设各项工作稳步推进，经济运行良好，实现首季“开门红”。一季度营业收入、利润总额同比分别增长2.4%、85.9%，年化全员劳动生
...[详细]
国际油价25日上涨。一些分析人士认为，在主要产油国控制产量以及全球原油需求增加等因素共同影响下，国际原油市场供应过剩的局面已明显改善。数据方面，美国能源信息局25日公布的报告显示，上周美国全国商业原油
...[详细]
宝鼎科技26日早间公告，预计公司2017年度财务数据与已披露的业绩快报数据存在较大差异，其中，预计公司2017年实现营业收入238,535,904.12元，完成利润总额-128,267,135.43元
...[详细]
2017年11月，国资委和中央企业各级纪检监察机构严肃查处了68起违反中央八项规定精神的问题，处理125人(含党纪政纪处分52人)。其中，违规公款吃喝问题7起，处理9人;公款国内旅游问题5起，处理11
...[详细]2022年全球人工智能软件市场规模将达625亿美元 相比2021年增长21.3%
11月30日，据市场机构Gartner预测，2022年全球人工智能(AI)软件收入总额预计将达625亿美元，相比2021年增长21.3%。Gartner认为，2022年人工智能软件支出的前五个用例类别
...[详细]
近日，山东能源枣矿集团新安煤业公司3311工作面6.5米大采高自动化综采成套设备全部安装到位，并单机试运转一次成功。据悉，新安煤业公司3311工作面是目前山东省最大采高工作面，一次采全高达 6.5米
...[详细]
据发改委网站消息，近日，国家发展改革委、国家能源局发布印发《关于建立健全煤炭最低库存和最高库存制度的指导意见(试行)》(下称指导意见)及考核办法的通知，通知称，指导意见及考核办法自2018年1月1日起
...[详细]
公安部、商务部、卫生计生委、海关总署、安全监管总局、食品药品监管总局：根据《易制毒化学品管理条例》第二条的规定，国务院同意在《易制毒化学品管理条例》附表《易制毒化学品的分类和品种目录》中增列N-苯乙基
...[详细]华阳股份(600348.SH)公布消息：拟开展应收账款保理业务
华阳股份(600348.SH)公布，公司及公司下属煤炭销售公司拟将一定期间内向华能国际电力股份有限公司(“华能国际”)电厂供应煤炭所形成的应收账款用于办理应收账款保理融资业务。
...[详细]
1、微信近日更新至7.0.17版本，该更新取消了两分钟内的删除功能。发出的信息在两分钟内只有撤回功能，两分钟后用户才能选择删除，即两分钟内只能撤回不能删除2、不少网友大呼该功能实用，因为不少人遇到过想
...[详细]
学校的社保卡要注销吗 注销必须要到窗口吗？
多部门已“出实招”为企业“护航” 降低汇率波动扰动增加融资渠道
达华智能早间公告：新乐视智家增资估值为90亿
中国海油有限海南分公司一季度天然气增幅54% 有效保障粤港琼天然气需求
