Redazione RHC : 1 Aprile 2023 19:12
Gli esperti di Wiz hanno scoperto un bug di sicurezza, al quale è stato dato il nome di BingBang.
Hanno scoperto che una configurazione errata di Azure Active Directory (AAD) potrebbe portare alla compromissione delle SERP di Bing.com, agli attacchi XSS e alla compromissione degli account utente di Office 365. Il bug ha fatto guadagnare ai ricercatori una ricompensa di 40.000 dollari.
Gli esperti hanno scoperto che durante la creazione di applicazioni in Servizi app di Azure, possono essere configurate in modo errato per consentire agli utenti di qualsiasi tenant Microsoft, inclusi gli utenti pubblici, di accedere all’applicazione.
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
La radice del problema risiede nel parametro Tipi di account supportati, in cui è possibile specificare chi esattamente è autorizzato ad accedere all’applicazione (sono consentiti solo account personali o multi-tenancy), come mostrato nello screenshot seguente.
Sono previste varie configurazioni quando gli sviluppatori, ad esempio, devono rendere disponibili le proprie applicazioni all’esterno dell’organizzazione. Ma se lo sviluppatore allenta le restrizioni per errore, gli estranei possono accedere all’applicazione e alle sue funzioni. Come notano i ricercatori, “un flag è tutto ciò che separa un’applicazione dalla multi-tenancy”.
“L’architettura della responsabilità condivisa (Shared Responsibility) non è sempre chiara agli sviluppatori e, di conseguenza, si verificano spesso errori di configurazione e convalida”, affermano gli esperti.
Gli errori di configurazione sono così diffusi che circa il 25% di tutte le app multi-tenant testate da Wiz sono configurate in modo errato e consentono l’accesso completo senza controlli adeguati.
Peggio ancora, in alcuni casi le applicazioni configurate in modo errato si sono rivelate di proprietà di Microsoft, il che evidenzia solo quanto sia facile configurare in modo errato Azure AD.
La chiave di questa indagine è stata la scoperta di un’applicazione Bing Trivia configurata in modo errato che consentiva a chiunque di accedere al suo CMS. Il fatto è che questa applicazione si è rivelata direttamente collegata a Bing.com e ha permesso la sostituzione in tempo reale del contenuto visualizzato nei risultati della ricerca.
Dopo aver scoperto il problema, i ricercatori hanno deciso di assicurarsi di poter davvero influenzare i risultati della ricerca. Come dimostra il video qui sopra, hanno cambiato con successo i risultati della ricerca per “migliori colonne sonore” aggiungendo il film del 1995 “Hackers” al primo carosello.
Quindi si è scoperto che i ricercatori potevano inserire il payload nei risultati di ricerca di Bing utilizzando lo stesso CMS e potevano eseguire un attacco XSS su Bing.com.
Il test ha mostrato che era possibile compromettere il token di Office 365 di qualsiasi utente Bing che vedesse il carosello nei risultati di ricerca, dando a un potenziale malintenzionato pieno accesso all’account della vittima (inclusa la posta in Outlook, il calendario, i messaggi in Teams, i documenti di SharePoint, e file in OneDrive).
Oltre a Bing Trivia, sono state trovate altre applicazioni Microsoft interne con configurazioni errate simili. Questi includevano: un pannello di controllo per una newsletter di MSN chiamata Mag News, l’API del servizio di notifica di Microsoft, Contact Center, uno strumento PoliCheck interno che cerca parole vietate nel codice Microsoft, un pannello di amministrazione di WordPress che consentiva agli esperti di Wiz di pubblicare messaggi falsi sul dominio Microsoft.com e infine il sistema di gestione dei file Cosmos di Microsoft con oltre quattro exabyte di file.
Convinti che anche un attacco XSS sia possibile, gli specialisti si sono affrettati a riferire le loro scoperte agli ingegneri Microsoft (questo è accaduto il 31 gennaio 2023), e questa settimana l’azienda ha confermato che il problema è stato finalmente risolto il 28 marzo 2023.
Microsoft sta ora segnalando che una configurazione errata che consente agli estranei di ottenere l’accesso in lettura e scrittura ha interessato un numero limitato di applicazioni interne ed è stata prontamente risolta.
Inoltre, gli sviluppatori Microsoft affermano di aver già implementato una serie di miglioramenti progettati per prevenire il ripetersi di problemi con Azure AD configurato in modo errato. Gli sviluppatori e gli amministratori che gestiscono applicazioni multi-tenant sono incoraggiati a rivedere le linee guida aggiornate per proteggerle.
RedazioneIn un settore un tempo dominato da star dal vivo, i personaggi digitali si stanno facendo sempre più strada. Durante un summit a Zurigo, Ellin van der Velden, attrice, comica e tecnologa, ha annuncia...
La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto una vulnerabilità critica nella popolare utility Sudo, utilizzata su sistemi Linux e Unix-like, al suo catalog...
Negli ultimi anni gli attacchi informatici sono diventati una delle principali minacce per le aziende, indipendentemente dal settore. Se i reparti tecnici si concentrano sulla risoluzione dei problemi...
Nel 2025 l’Unione Europea vuole avere il controllo totale sulle chat private. Il Regolamento “Chat Control” (proposta COM(2022)209) promette di combattere la pornografia minorile con la scansion...
Qualche produttore di spyware starà probabilmente facendo ginnastica… strappandosi i capelli. Ma ormai è il solito teatrino: c’è chi trova, chi incassa, chi integra e poi arriva il ricercatore ...
