示意圖,與新聞事件無關。

圖片來源: 

Microsoft

微軟Azure被發現一個軟體元件漏洞,可能使Azure上的Red Hat Enterprise Linux(RHEL)映象檔遭到駭客入侵。所幸該漏洞已經由微軟修補完成。 

這個漏洞是由軟體工程師Ian Duffy首先發現。他是在為Azure建立RHEL映象檔時,發現Azure內建的RPM封包管理員(RPM Package Manager)使用的安裝描述語言含有主機資訊,可使用戶組態資訊曝光,由此發現4台曝露於RESTAPI over HTTPS的Red Hat 更新裝置。 

他發現一個可執行於所有Azure RHEL instances上、名為PrepareRHUI (Red Hat Update Infrastructure)的封包中包含rhui-monitor.cloud主機名稱,並在存取之後,發現這台主機的使用者與密碼驗證皆無法運作,使他得以在其中動手腳,取得4台Red Hat 更新裝置的管理員權限。 

此外,他還發現所有Azure RHEL映象檔皆未執行gpgcheck檢查,再加上如果有人取得RHEL裝置REST API完整管理員權限,就可在下次更新時上傳惡意封包,進而攻城掠地。 

微軟在經過通報後,判定此為一項漏洞,並已經修補該漏洞,關閉了rhui-monitor.cloud的存取通道。


Advertisement

更多 iThome相關內容