微软Azure漏洞让大量云数据库完全开放

微软在安全公告中宣布，最近发现并修复了AzureDatabaseforPostgreSQL灵活服务器中的多个严重漏洞。据BleepingComputer报道，这些漏洞可能允许恶意用户提升权限并访问客户数据库。幸运的是，微软证实，在发布修复之前，该漏洞并未用于攻击Azure客户，也没有获取任何数据。

鉴于补丁是在一个多月前部署的，Azure客户无需采取额外措施来保护他们的端点。

分享您对网络安全的看法，并免费获得《2022年黑客手册》。帮助我们了解企业如何为后Covid世界做准备，以及这些活动对其网络安全计划的影响。在本次调查结束时输入您的电子邮件以获取价值10.99美元/10.99英镑的bookazine。

借助灵活服务器，AzureDatabaseforPostgreSQL用户可以更好地控制他们的数据库。但是，在这种情况下，灵活服务器为攻击创造了机会。

微软表示：“通过利用复制用户的灵活服务器身份验证过程中的权限提升漏洞，恶意用户可以利用不正确锚定的正则表达式绕过身份验证来访问其他客户的数据库。”

“这在48小时内(2022年1月13日)得到缓解。使用私有访问网络选项的客户没有受到此漏洞的影响。Postgres的单服务器产品没有受到影响。”

到2月底，所有修复程序都已部署，微软继续解释。

不过，该公司表示，在Azure虚拟网络(VNet)上部署PostgreSQL灵活服务器是明智的，因为它们提供私有和安全的网络通信。

“为了进一步减少风险，我们建议客户在设置灵活服务器实例时启用专用网络访问，”该公司表示。

最先发现该漏洞的云安全公司WizResearch将其命名为ExtraReplica，并补充说，跟踪云漏洞存在一些挑战。

“与其他云漏洞一样，这个问题没有收到CVE标识符(与软件漏洞不同)。它没有记录或记录在任何数据库中，”它说。“缺乏这样的数据库会削弱客户监控、跟踪和响应云漏洞的能力。”

标签：

版权声明：本文由用户上传，如有侵权请联系删除！