Fefes Blog

Fragen? Antworten! Siehe auch: Alternativlos

Thu Aug 3 2023

• [l] Wisst ihr, was wir lange nicht mehr hatten? Cloud-Ausbruch-Exploits gegen Azure. Mein Highlight ist die Timeline:

  30 March 2023 - Issue discovered and reported to Microsoft via MSRC

  [...]

  27 June 2023 - Tenable requests an update

  6 July 2023 - Microsoft informs Tenable that the issue is fixed

  10 July 2023 - Tenable informs Microsoft that the fix is incomplete

  Und am Ende so: Es reicht. Microsoft hat uns jetzt auf September verschoben. Wir veröffentlichen jetzt das Advisory.

  Oh aber ich habe noch gar nicht gesagt, was das Problem war:

  A researcher at Tenable has discovered an issue that enables limited, unauthorized access to cross-tenant applications and sensitive data (including but not limited to authentication secrets).

  Cross-Tenant-Isolation! Das EINE Feature, das eine Cloud WIRKLICH WIRKLICH haben muss, damit irgendjemand denen Daten anvertraut.

  Na, habt ihr eigentlich auch eure Daten bei Microsoft in die Cloud geladen? Nachdem die seit Jahrzehnten schon nicht in der Lage sind, ein reguläres Server-OS anzubieten, das grundlegenden Sicherheitsanforderungen genügt?

  Aber Tenant-Isolation, habt ihr euch gedacht, das ist einfach. Das schaffen die schon. Und wenn nicht, dann bin nicht ICH schuld. Dann ist das halt Schicksal. Ja?

  Wer jetzt noch in die Cloud geht, dem ist echt nicht zu helfen. (Danke, atoth)