Breaking News

Update ของ Microsoft Azure เปิดช่องโหว่ให้โจมตี RHEL Instance ได้ แก้ไขแล้ว

Microsoft ประกาศออก Patch มาเพื่อแก้ไขช่องโหว่ที่เกิดขึ้นบน Azure Red Hat Enterprise Linux (RHEL) Instance ทั้งหมด

Credit: alexmillos/ShutterStock
Credit: alexmillos/ShutterStock

Ian Duffy ได้ค้นพบช่องโหว่ของ RHEL Instance บน Microsoft Azure จากข้อมูลของ Script ที่ติดตั้้งอยู่บน RHEL Instance ทุกเครื่อง โดยภายใน Script นั้นได้มีข้อมูลการเข้าถึง RHEL Instance ผ่านทาง REST API over HTTPS และนำไไปสู่การเชื่อมต่อ Azure Red Hat Update Appliance ได้ด้วยสิทธิ์การบริหารจัดการระดับสูงสุด และทำให้ Azure RHEL Image ทั้งหมดที่ไม่ได้ทำการตั้งค่าการตรวจสอบ GPG Validation Check เอาไว้จะถูกโจมตีด้วยการส่ง Package Update ที่ปลอมแปลงเข้าไปได้เมื่อเครื่องต่างๆ เหล่านั้นสั่ง yum update

ปัจจุบันทาง Microsoft ได้รับทราบถึงช่องโหว่นี้แล้ว และทำการแก้ไขเรียบร้อย

นอกจากนี้ยังมีอีกช่องโหว่หนึ่งที่ Ian Duffy ได้ไปค้นพบ API Key สำรหับใช้ในการ Debug บน Microsoft Azure Linux Agent (WaLinuxAgent) ซึ่งเปิดให้ผู้โจมตีสามารถโหลด Virtual Hard Disk ของเครื่อง RHEL ใดๆ ก็ได้ใน Storage Account เดียวกันมา และแจ้งไปยังทาง Microsoft แล้ว

จากการค้นพบช่องโหว่เหล่านี้ Ian Duffy ได้รับเงินรางวัลมาทั้งสิ้น 3,500 เหรียญหรือราวๆ 122,500 บาท

ที่มา: http://www.theregister.co.uk/2016/11/28/microsoft_update_servers_left_all_azure_rhel_instances_hackable/



About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

[Video Webinar] Secure Remote Workforce with Fortinet

สำหรับผู้ที่ไม่ได้เข้าชมการบรรยาย Fortinet Webinar เรื่อง “Secure Remote Workforce with Fortinet” พร้อมสาธิตการนำ FortiGate, FortiClient และ FortiToken มาใช้ทำ …

Alcatel-Lucent Enterprise พร้อมช่วยธุรกิจไทย สื่อสารในช่วงวิกฤตได้โดยไม่มีค่าใช้จ่าย พร้อมมั่นใจความปลอดภัยของข้อมูลด้วยมาตรฐาน GPDR และ ISO-27001

ท่ามกลางวิกฤตโรคระบาดในครั้งนี้ ทีมงาน TechTalkThai ได้มีโอกาสพูดคุยกับคุณสาธิต พันธ์ไพศาล ผู้ดำรงตำแหน่ง Country Manager ของ Alcatel-Lucent Enterprise ประจำประเทศไทย ที่ได้มีโอกาสเข้าไปช่วยเหลือให้ธุรกิจองค์กรหลายแห่งในไทย ยังคงทำการสื่อสารเพื่อให้ธุรกิจยังคงดำเนินต่อไปได้แม้จะต้องปรับไปใช้นโยบาย Work from Home โดยยังคงมีความมั่นคงปลอดภัยสูง ตอบโจทย์การทำ PDPA ด้วยมาตรฐาน GPDR (General Data Protection Regulation) และ ISO-27001และไม่มีค่าใช้จ่ายใดๆ เนื่องจาก Alcatel-Lucent Enterprise เปิดให้ใช้งานโซลูชันด้าน Enterprise Collaboration ฟรีโดยไม่จำกัดจำนวนผู้ใช้งานเป็นเวลานานถึง 3 เดือน พร้อมทั้งแบ่งปันบทเรียนและวิสัยทัศน์สำหรับธุรกิจองค์กรในการฝ่าฟันวิกฤตครั้งนี้ไปด้วยกัน