Microsoft greškom otkrio 38TB podataka, ali kompanija tvrdi da podaci korisnika nisu ugroženi

Vesti, 19.09.2023, 13:30 PM

Microsoft greškom otkrio 38TB podataka, ali kompanija tvrdi da podaci korisnika nisu ugroženi

Microsoft je preko javnog GitHub repozitorijuma nenamerno otkrio ogromnu količinu osetljivih internih informacija koje datiraju pre više od tri godine.

Firma za zaštitu podataka u oblaku Wiz otkrila je kršenje privatnosti kada je pronašla GitHub repozitorijum „robust-models-transfer“ koje je pripadao Microsoftovom odeljenju za istraživanje veštačke inteligencije.

Iako je repozitorijum trebalo samo da pruži pristup otvorenom izvornom kodu i AI modelima za prepoznavanje slika, URL Azure skladišta je zapravo bio pogrešno konfigurisan tako da daje dozvole za ceo nalog, rekao je Wiz.

„Naša pretraga pokazuje da ovaj nalog sadrži 38 TB dodatnih podataka - uključujući rezervne kopije ličnih računara zaposlenih u Microsoftu. Rezervne kopije su sadržale osetljive lične podatke, uključujući lozinke za Microsoftove usluge, tajne ključeve i više od 30.000 internih Microsoft Teams poruka od 359 zaposlenih u Microsoftu“, navodi Wiz.

„Pored preterano dozvoljenog opsega pristupa, token je takođe pogrešno konfigurisan da omogući dozvole „potpune kontrole“ umesto samo za čitanje. Što znači, ne samo da je napadač mogao da vidi sve fajlove na nalogu za skladištenje, već je mogao i da izbriše i prepiše postojeće fajlove.“

Čini se da je uzrok problema Microsoftova upotreba Shared Access Signature (SAS) tokena - potpisanog URL-a koji korisnicima daje pristup podacima Azure Storagea.

To je alat koji omogućava visok stepen prilagođavanja od strane korisnika, omogućavajući dozvole od onih za čitanje do pune kontrole i vremena isteka koje se može efikasno podesiti na zauvek. Originalni SAS token u ovom incidentu je prvi put poslat na GitHub u julu 2020., a njegov datum isteka ažuriran je u oktobru 2021. na 30 godina od toga.“

Nakon što je Wiz prijavio incident, Microsoft je poništio i zamenio token.

„Nikakvi podaci o klijentima nisu bili otkriveni, i nijedna druga interna usluga nije bila izložena riziku zbog ovog problema“, rekao je Microsoft. „Nije potrebna nikakva radnja korisnika kao odgovor na ovaj problem.“

Međutim, Wiz je upozorio da SAS tokeni predstavljaju stalni rizik.

„Zbog nedostatka nadzora i upravljanja, SAS tokeni predstavljaju bezbednosni rizik, a njihova upotreba treba da bude što je moguće ograničenija. Ove tokene je veoma teško pratiti, jer Microsoft ne pruža centralizovan način za upravljanje njima u okviru Azure portala“, kaže Wiz. „Pored toga, ovi tokeni se mogu konfigurisati da traju zauvek, bez gornjeg ograničenja njihovog vremena isteka. Prema tome, korišćenje SAS tokena naloga za spoljno deljenje nije bezbedno i treba ga izbegavati.”

Foto: Salvatore De Lellis


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Policija zaplenila domene ransomware kartela LockBit

Policija zaplenila domene ransomware kartela LockBit

Ransomware kartel LockBit ostao je bez veb sajta koji je grupa koristila za objavljivanje imena novih žrtava. Na sajtu sada stoji obaveštenje da je ... Dalje

Google najavio novu funkciju Google Chromea koja će blokirati napade na kućne mreže

Google najavio novu funkciju Google Chromea koja će blokirati napade na kućne mreže

Veb pregledači su portal između vas i interneta, tako da bi trebalo da imaju odbrambene mehanizme koji mogu da spreče hakere da steknu uporište na... Dalje

Zbog masovnog sajber napada zaustavljena proizvodnja baterija u fabrikama Varta

Zbog masovnog sajber napada zaustavljena proizvodnja baterija u fabrikama Varta

Nemački proizvođač baterija i akumulatora za automobile Varta AG je saopštio da je sajber napad koji se dogodio u ponedeljak stavio van mreže pet... Dalje

''Nevidljivi malver'' RustDoor inficira Apple macOS uređaje

''Nevidljivi malver'' RustDoor inficira Apple macOS uređaje

Istraživači kompanije Bitdefender otkrili su novi macOS malver napisan u programskom jeziku Rust zbog čega je nazvan RustDoor, koji se neprimećen ... Dalje

Raspisana nagrada od 10 miliona dolara za informacije o članovima ransomware grupe Hive

Raspisana nagrada od 10 miliona dolara za informacije o članovima ransomware grupe Hive

Američki Stejt department ponudio je nagradu od 10 miliona dolara za informacije koje bi dovele do identifikacije ili lociranja ključnih članova ra... Dalje