Ciudad de México (junio 2024) —Tenable®, empresa especializada en Exposure Management, ha revelado que su equipo Tenable Cloud Research ha descubierto una vulnerabilidad de alta severidad en Azure que afecta a más de diez servicios de esta marca, incluso Azure Application Insights, Azure DevOps, Azure Machine Learning, Azure API Management y Azure Logic Apps. Microsoft no planea emitir un parche para esta vulnerabilidad; en lugar de ello, ha creado documentación centralizada para informar a los clientes acerca de los patrones de uso para las etiquetas de servicio.
La vulnerabilidad permite que un atacante malicioso esquive las reglas del firewall basadas en las etiquetas de servicio Azure mediante la falsificación de solicitudes desde servicios confiables. Un actor de amenazas podría explotar las etiquetas de servicio que se han permitido a través del firewall si no existen controles adicionales de validación. Al explotar esta vulnerabilidad, un atacante podría obtener acceso al servicio Azure de una organización y a otros servicios Azure internos y privados.
“Esta vulnerabilidad permite que un atacante controle solicitudes falsificadas del lado del servidor, fingiendo ser un servicio Azure confiable”, explica Liv Matan, ingeniero senior de investigación de Tenable. “Recomendamos enfáticamente que los clientes tomen acciones inmediatas. Al asegurar que se mantenga una fuerte autenticación en la red, los usuarios pueden defenderse con una capa adicional y crucial de seguridad.”
Los clientes de Azure cuyas reglas de firewall dependen de las etiquetas de servicio Azure para seguridad están en riesgo por esta vulnerabilidad y deben tomar acciones inmediatas para mitigar el problema y asegurarse de estar protegidos por capas de autenticación y autorización.
Más información, incluyendo los descubrimientos técnicos del equipo y la prueba de concepto, se ha publicado en el blog de Tenable y en asesoría técnica.
Acerca de Tenable
Acerca de Tenable
Tenable® es la empresa de Exposure Management. Aproximadamente 44,000 organizaciones de todo el mundo confían en Tenable para que les ayude a comprender el riesgo cibernético y reducirlo. Como creador de Nessus®, Tenable amplió su conocimiento sobre vulnerabilidades para ofrecer la primera plataforma del mundo para ver y proteger los activos digitales en cualquier plataforma de cómputo. Entre los clientes de Tenable, se incluye aproximadamente al 65 % de las compañías de la lista Fortune 500, aproximadamente el 50 % de las compañías de la lista Global 2000 y grandes instituciones gubernamentales. Para obtener más información, visite es-la.tenable.com.
