Plus de détails ont été révélés sur un ensemble de failles XSS (cross-site scripting) désormais corrigées dans le service d’analyse open source Microsoft Azure HDInsight qui pourraient être utilisées par un acteur malveillant pour mener des activités malveillantes.
« Les vulnérabilités identifiées consistaient en six vulnérabilités XSS stockées et deux vulnérabilités XSS réfléchies, chacune pouvant être exploitée pour effectuer des actions non autorisées, allant de l’accès aux données au détournement de session et à la fourniture de charges utiles malveillantes », a déclaré Lidor Ben Shitrit, chercheur en sécurité chez Orca, dans un rapport partagé. avec The Hacker News.
Les problèmes ont été résolus par Microsoft dans le cadre de ses mises à jour du Patch Tuesday d’août 2023.
La divulgation intervient trois mois après que des lacunes similaires ont été signalées dans Azure Bastion et Azure Container Registry qui auraient pu être exploitées pour un accès et des modifications non autorisés aux données.
La liste des défauts est la suivante –
- CVE-2023-35393 (score CVSS : 4,5) – Vulnérabilité d’usurpation d’identité dans Azure Apache Hive
- CVE-2023-35394 (score CVSS : 4,6) – Vulnérabilité d’usurpation d’identité du notebook Azure HDInsight Jupyter
- CVE-2023-36877 (score CVSS : 4,5) – Vulnérabilité d’usurpation d’identité dans Azure Apache Oozie
- CVE-2023-36881 (score CVSS : 4,5) – Vulnérabilité d’usurpation d’identité dans Azure Apache Ambari
- CVE-2023-38188 (score CVSS : 4,5) – Vulnérabilité d’usurpation d’identité dans Azure Apache Hadoop
« Un attaquant devrait envoyer à la victime un fichier malveillant que la victime devrait exécuter », a noté Microsoft dans ses avis sur les bugs. « Un attaquant autorisé disposant de privilèges d’invité doit envoyer à une victime un site malveillant et la convaincre de l’ouvrir. »
Les attaques XSS se produisent lorsqu’un adversaire injecte des scripts malveillants dans un site Web légitime, qui sont ensuite exécutés sur les navigateurs Web des victimes lors de la visite du site. Alors que le XSS réfléchi cible les utilisateurs qui sont amenés à cliquer sur un lien frauduleux, le XSS stocké est intégré dans une page Web et affecte tous les utilisateurs qui y accèdent.
La société de sécurité cloud a déclaré que toutes les failles proviennent d’un manque de nettoyage approprié des entrées, ce qui permet d’afficher des caractères malveillants lors du chargement du tableau de bord.
« Ces faiblesses permettent collectivement à un attaquant d’injecter et d’exécuter des scripts malveillants lorsque les données stockées sont récupérées et affichées aux utilisateurs », a noté Ben Shitrit, exhortant les organisations à mettre en œuvre une validation d’entrée et un codage de sortie adéquats pour « garantir que les données générées par les utilisateurs sont correctement nettoyées ». avant d’être affiché dans les pages Web. »
