Các nhà nghiên cứu an ninh mạng đã chia sẻ thêm chi tiết về lỗ hổng bảo mật hiện đã được vá trong Azure Service Fabric Explorer (SFX) có khả năng cho phép kẻ tấn công giành được đặc quyền của quản trị viên trên cụm.
Lỗ hổng bảo mật, được theo dõi là CVE-2022-35829, có xếp hạng mức độ nghiêm trọng CVSS là 6.2 và đã được Microsoft giải quyết như một phần của bản cập nhật Patch Tuesday vào tuần trước.
Orca Security, công ty đã phát hiện và báo cáo lỗ hổng cho gã khổng lồ công nghệ vào ngày 11 tháng 8 năm 2022, được đặt tên là lỗ hổng FabriXss (phát âm là "vải"). Nó ảnh hưởng đến Azure Fabric Explorer phiên bản 8.1.316 trở về trước.
SFX được Microsoft mô tả là một công cụ mã nguồn mở để kiểm tra và quản lý các cụm Azure Service Fabric, một nền tảng hệ thống phân tán được sử dụng để xây dựng và triển khai các ứng dụng đám mây dựa trên vi dịch vụ.
Lỗ hổng bắt nguồn từ thực tế là người dùng có quyền "Tạo ứng dụng soạn thư" thông qua ứng dụng SFX có thể tận dụng các đặc quyền để tạo một ứng dụng lừa đảo và lạm dụng lỗ hổng tập lệnh chéo trang (XSS) được lưu trữ trong trường "Tên ứng dụng" để trượt tải trọng.
Được trang bị khai thác này, kẻ thù có thể gửi đầu vào được chế tạo đặc biệt trong bước tạo ứng dụng, cuối cùng dẫn đến việc thực thi nó.
"Điều này bao gồm việc thực hiện thiết lập lại Nút cụm, xóa tất cả các cài đặt tùy chỉnh như mật khẩu và cấu hình bảo mật, cho phép kẻ tấn công tạo mật khẩu mới và giành được quyền Quản trị viên đầy đủ," các nhà nghiên cứu của Orca Security Lidor Ben Shitrit và Roee Sagi cho biết.