Microsoft Azure

攻撃者は、現在パッチが適用されている Service Fabric Explorer のなりすましの脆弱性を悪用して、管理者権限を取得し、Azure Service Fabric クラスターをハイジャックする可能性があることがわかりました。

Service Fabric は、 100 万を超えるアプリをホストし、Microsoft Intune、Dynamics 365、Skype for Business、Cortana、Microsoft Power BI、および複数のコア Azure サービスを含むがこれらに限定されない多くの Microsoft 製品を強化するビジネス クリティカルなアプリケーションのプラットフォームです。

ホスト型ソリューションまたはデスクトップ アプリとして使用できるオープン ソース ツールである Service Fabric Explorer (SFX) を使用すると、Azure 管理者は Azure Service Fabric クラスター内のノードとクラウド アプリケーションを管理および検査できます。

Orca Security は、潜在的な攻撃者が完全な管理者権限を取得して Service Fabric クラスターを乗っ取る可能性があるFabriXssと呼ばれる SFX スプーフィングの脆弱性 ( CVE-2022-35829 ) を発見しました。

「ダッシュボードを介して「新しいアプリケーションを作成する」という単一の権限を持つ Deployer タイプのユーザーが、この単一の権限を使用して悪意のあるアプリケーション名を作成し、管理者権限を悪用してさまざまな呼び出しやアクションを実行できることがわかりました」と Orca Security は説明しています。

「これには、クラスター ノードのリセットの実行が含まれます。これにより、パスワードやセキュリティ構成などのカスタマイズされた設定がすべて消去され、攻撃者が新しいパスワードを作成し、完全な管理者権限を取得できるようになります。」

実生活での利用はまだ発見されず

Orca Security は 8 月 11 日に Microsoft Security Response Center (MSRC) に脆弱性を報告し、Microsoft は 10 月 11 日の今月のパッチ チューズデー中にこの脆弱性に対処するためのセキュリティ更新プログラムを発行しました。

概念実証の FabriXss エクスプロイトは、 Orca Security のブログ投稿で、追加の技術的詳細とともに入手できます。

Microsoft によると、FabriXss エクスプロイトは、サポートされていない古いバージョンの Service Fabric Explorer (SFXv1) を対象とする攻撃にのみ使用でき、現在のデフォルトの SFX Web クライアント (SFXv2) は攻撃に対して脆弱ではありません。

「ただし、顧客はデフォルトの Web クライアント (SFXv2) から古い脆弱な SFX Web クライアント バージョン (SFXv1) に手動で切り替えることができます」と Microsoft は述べています。

「この問題では、攻撃者が既に Service Fabric クラスターでコードの展開と実行の権限を持っていること、およびターゲットが脆弱な Web クライアント (SFXv1) を使用することが必要です。」

Redmond は、FabriXss が攻撃で悪用されたという証拠を発見していませんが、Service Fabric のすべての顧客に、最新の SFX バージョンにアップグレードし、脆弱な SFXv1 Web クライアント バージョンに切り替えないようにアドバイスしています。

Microsoft によると、今後の Service Fabric リリースでは、SFXv1 とそれに切り替えるオプションも削除されます。

6 月には、Microsoft はまた、 FabricScape と呼ばれる Service Fabric コンテナー エスケープ バグを修正しました。このバグにより、攻撃者は権限を root に昇格させ、ホスト ノードの制御を取得して、SF Linux クラスター全体を危険にさらすことが可能な脆弱性でした。