Microsoft greškom otkrio 38TB podataka, ali kompanija tvrdi da podaci korisnika nisu ugroženi
Vesti, 19.09.2023, 13:30 PM
.jpg)
Microsoft je preko javnog GitHub repozitorijuma nenamerno otkrio ogromnu količinu osetljivih internih informacija koje datiraju pre više od tri godine.
Firma za zaštitu podataka u oblaku Wiz otkrila je kršenje privatnosti kada je pronašla GitHub repozitorijum „robust-models-transfer“ koje je pripadao Microsoftovom odeljenju za istraživanje veštačke inteligencije.
Iako je repozitorijum trebalo samo da pruži pristup otvorenom izvornom kodu i AI modelima za prepoznavanje slika, URL Azure skladišta je zapravo bio pogrešno konfigurisan tako da daje dozvole za ceo nalog, rekao je Wiz.
„Naša pretraga pokazuje da ovaj nalog sadrži 38 TB dodatnih podataka - uključujući rezervne kopije ličnih računara zaposlenih u Microsoftu. Rezervne kopije su sadržale osetljive lične podatke, uključujući lozinke za Microsoftove usluge, tajne ključeve i više od 30.000 internih Microsoft Teams poruka od 359 zaposlenih u Microsoftu“, navodi Wiz.
„Pored preterano dozvoljenog opsega pristupa, token je takođe pogrešno konfigurisan da omogući dozvole „potpune kontrole“ umesto samo za čitanje. Što znači, ne samo da je napadač mogao da vidi sve fajlove na nalogu za skladištenje, već je mogao i da izbriše i prepiše postojeće fajlove.“
Čini se da je uzrok problema Microsoftova upotreba Shared Access Signature (SAS) tokena - potpisanog URL-a koji korisnicima daje pristup podacima Azure Storagea.
To je alat koji omogućava visok stepen prilagođavanja od strane korisnika, omogućavajući dozvole od onih za čitanje do pune kontrole i vremena isteka koje se može efikasno podesiti na zauvek. Originalni SAS token u ovom incidentu je prvi put poslat na GitHub u julu 2020., a njegov datum isteka ažuriran je u oktobru 2021. na 30 godina od toga.“
Nakon što je Wiz prijavio incident, Microsoft je poništio i zamenio token.
„Nikakvi podaci o klijentima nisu bili otkriveni, i nijedna druga interna usluga nije bila izložena riziku zbog ovog problema“, rekao je Microsoft. „Nije potrebna nikakva radnja korisnika kao odgovor na ovaj problem.“
Međutim, Wiz je upozorio da SAS tokeni predstavljaju stalni rizik.
„Zbog nedostatka nadzora i upravljanja, SAS tokeni predstavljaju bezbednosni rizik, a njihova upotreba treba da bude što je moguće ograničenija. Ove tokene je veoma teško pratiti, jer Microsoft ne pruža centralizovan način za upravljanje njima u okviru Azure portala“, kaže Wiz. „Pored toga, ovi tokeni se mogu konfigurisati da traju zauvek, bez gornjeg ograničenja njihovog vremena isteka. Prema tome, korišćenje SAS tokena naloga za spoljno deljenje nije bezbedno i treba ga izbegavati.”
Foto: Salvatore De Lellis

Izdvojeno
Microsoft uvodi podršku za pristupne ključeve u Windows 11

Microsoft uvodi podršku za pristupne ključeve (passkeys) u operativnom sistemu Windows 11 kao deo velikog ažuriranja operativnog sistema. Ova funkc... Dalje
Prevaranti na internetu koriste stare metode ali su ubedljiviji nego ikad pre

Prema podacima kompanije Norton, prevare su najznačajnija pretnja naših digitalnih života, i trenutno su dostigle najviši nivo u istoriji. Telemet... Dalje
Signal dobija novu bezbednosnu funkciju koja će nam biti potrebna u budućnosti
.jpg)
Mnogi ljudi sada shvataju prednosti end-to-end enkripcije (E2E) poruka koje šalju i primaju. Kako raste popularnost šifrovane komunikacije, kompanij... Dalje
Hakeri koji su hakovali kockarnice u Las Vegasu, napali i druge kompanije

Hakeri koji su poslednjih nedelja napali poznate kockarnice u vlasništvu kompanija MGM Resorts International i Caesars Entertainment, takođe su hako... Dalje
Microsoft greškom otkrio 38TB podataka, ali kompanija tvrdi da podaci korisnika nisu ugroženi
.jpg)
Microsoft je preko javnog GitHub repozitorijuma nenamerno otkrio ogromnu količinu osetljivih internih informacija koje datiraju pre više od tri godi... Dalje
Pratite nas
Nagrade