Исследователи кибербезопасности поделились более подробной информацией об устраненном дефекте безопасности в Azure Service Fabric Explorer (SFX), который потенциально может позволить злоумышленнику получить привилегии администратора на кластере.
Уязвимость, отслеживаемая как CVE-2022-35829, имеет рейтинг CVSS 6.2 и была устранена компанией Microsoft в рамках обновления Patch Tuesday на прошлой неделе.
Компания Orca Security, которая обнаружила уязвимость и сообщила о ней технологическому гиганту 11 августа 2022 года, назвала уязвимость FabriXss (произносится как "ткани"). Она затрагивает Azure Fabric Explorer версии 8.1.316 и более ранних.
SFX описывается Microsoft как инструмент с открытым исходным кодом для проверки и управления кластерами Azure Service Fabric, платформы распределенных систем, которая используется для создания и развертывания облачных приложений на основе микросервисов.
Уязвимость заключается в том, что пользователь с правами «Create Compose Application» через клиент SFX может воспользоваться привилегиями для создания неавторизованного приложения и использовать уязвимость межсайтового скриптинга (XSS) в поле «Application name» для передачи полезной нагрузки.
Вооружившись этим эксплойтом, хакер может отправить специально созданные входные данные на этапе создания приложения, что в конечном итоге приведет к выполнению кода.
«Это включает выполнение сброса узла кластера, который стирает все пользовательские настройки, такие как пароли и конфигурации безопасности, позволяя злоумышленнику задать новые пароли и получить полные права администратора» - сообщили исследователи Orca Security Лидор Бен Шитрит и Рои Саги.
Источник: https://thehackernews.com
