Microsoft a versé à Tenable une prime de bug pour une faille Azure qu’il affirme ne nécessiter aucune correction, juste une meilleure documentation.

Une vulnérabilité – ou simplement Azure fonctionnant comme prévu, selon qui vous demandez – dans le cloud de Microsoft permet potentiellement à des malfaiteurs d’ignorer les règles du pare-feu et d’accéder aux ressources web privées d’autres personnes. Le problème, découvert par l’équipe de recherche de l’entreprise d’évaluation des vulnérabilités Tenable, provient des balises de service, qui sont une construction d’Azure. Ces balises peuvent être utilisées pour regrouper les adresses IP utilisées par les services Azure afin que théoriquement il soit plus facile de contrôler l’accès réseau à ces ressources. Par exemple, si vous souhaitez qu’un service Azure spécifique interagisse avec votre application web privée, vous pouvez utiliser une balise de service pour n’autoriser que les connexions de ce service spécifique à travers un pare-feu vers l’application. Microsoft suggère que lorsque les utilisateurs Azure créent ce type de politiques de sécurité, ils les appliquent aux balises de service plutôt qu’aux adresses IP Azure individuelles. Tenable pense que ces balises peuvent être mal utilisées par un client Azure malveillant pour accéder aux ressources d’autres clients – une attaque inter-locataires – si ces victimes se fient aux balises de service dans leurs règles de pare-feu. Cependant, Microsoft ne va pas résoudre le problème car Redmond ne considère pas ce problème comme une vulnérabilité. Au lieu de cela, Microsoft pense qu’il s’agit d’un malentendu concernant la manière dont on décide « d’utiliser les balises de service et leur objectif initial ».