CDIC 2023

พบการตั้งค่า Default บน Microsoft Power Apps ทำข้อมูลรั่วกว่า 38 ล้าน Record

ผู้เชี่ยวชาญจาก UpGuard Inc. พบการตั้งค่า Default บน Microsoft Power Apps ทำข้อมูลรั่วกว่า 38 ล้าน Record

Credit: ShutterStock.com

Power Apps เป็นเครื่องมือที่ใช้สร้างแอพพลิเคชันแบบ Low-code ที่ได้รับความนิยม เนื่องจากช่วยให้สามารถสร้างแอพพลิเคชันสำหรับงาน Automation ได้อย่างง่ายดายโดยที่ไม่จำเป็นต้องเขียนโค้ด ผู้เชี่ยวชาญด้านความปลอดภัยจาก UpGuard Inc. ได้ค้นพบการหลุดรั่วของข้อมูลจากแอพพลิเคชันที่พัฒนาผ่าน Power Apps ในช่วงต้นปีที่ผ่านมา และเมื่อทำการตรวจสอบอย่างละเอียด พบว่ามีแอพพลิเคชันมากกว่า 1,000 ตัวทำข้อมูลหลุดรั่วออกมาแบบ Public Access ซึ่งนับเป็นจำนวนมากถึง 38 ล้าน Record สาเหตุเกิดจากการจัดเก็บข้อมูลของ Power Apps ที่เก็บรูปแบบ Spreadsheet นั้นทำงานอยู่บนบริการที่ชื่อว่า Dataverse โดยบริการนี้มีการตั้งค่าในการเข้าถึงแบบ Default ในรูปแบบที่ไม่จำเป็นต้องใส่รหัสผ่าน ทำให้การเข้าถึงนั้นไม่จำเป็นต้องมีการยืนยันตัวตนแต่อย่างใด และผู้ใช้งานมักจะไม่ได้ทำการเปลี่ยนแปลงการตั้งค่านี้

ล่าสุด UpGuard Inc. ได้ทำการแจ้งไปยัง Microsoft เป็นที่เรียบร้อยแล้ว โดย Microsoft ได้ออกมาแก้ไขปัญหานี้ก่อนช่วงเดือนสิงหาคมที่ผ่านมา ซึ่งจากการตรวจสอบ ไม่พบว่ามีการหลุดรั่วของข้อมูลแล้ว อย่างไรก็ดีผู้พัฒนาแอพพลิเคชันควรหมั่นทำการตรวจสอบการตั้งค่าแอพพลิเคชันของตนเองอย่างสม่ำเสมอ

ที่มา: https://siliconangle.com/2021/08/23/misconfigured-microsoft-power-apps-applications-found-expose-38m-records/


About เด็กฝึกงาน TechTalkThai หมายเลข 1

นักเขียนมือใหม่ผู้หลงใหลใน Enterprise IT และซูชิ

Check Also

พบช่องโหว่ใหม่ BLUFFS โจมตี Bluetooth แบบ Man-in-the-Middle

นักพัฒนาวิจัยด้านความมั่นคงปลอดภัยจาก Eurecom พบช่องโหว่ใหม่ “BLUFFS” สามารถโจมตี Bluetooth แบบ Man-in-the-Middle (MITM) ได้

nForce Secure เปิดตัวบริการ “Secure-IR Services” พร้อมโซลูชัน Cybersecurity ที่สนับสนุนด้วยเทคโนโลยี AI

เทคโนโลยี AI ณ วินาทีนี้เรียกได้ว่าเป็นส่วนหนึ่งในชีวิตประจำวันเป็นที่เรียบร้อย ถึงแม้ว่า AI จะมีคุณประโยชน์หลากหลาย แต่ในทางกลับกัน AI ก็อาจถูกผู้ไม่ประสงค์ดีนำไปใช้สร้างความเดือดร้อนได้เช่นกัน  ไม่ว่าจะเป็นการนำมาสร้างมัลแวร์ (Malware) หรือการใช้เขียนอีเมลฟิชชิ่ง (Phishing) เพื่อโจมตีบนโลกไซเบอร์ …