Microsoft a versé une prime à Tenable pour une faille d’Azure qu’il affirme ne nécessiter aucun correctif, juste une meilleure documentation.

Une vulnérabilité – ou simplement Azure qui fonctionne comme prévu, selon qui vous interrogez – dans le cloud de Microsoft permet potentiellement à des malandrins d’ignorer les règles du pare-feu et d’accéder aux ressources web privées d’autres personnes. Le problème, découvert par l’équipe de recherche de l’entreprise d’évaluation des vulnérabilités Tenable, provient des Service Tags, qui sont une construction d’Azure. Ces tags peuvent être utilisés pour regrouper les adresses IP utilisées par les services Azure afin, en théorie, de faciliter le contrôle de l’accès au réseau à partir de ces ressources. Par exemple, si vous souhaitez qu’un service Azure spécifique interagisse avec votre application web privée, vous pouvez utiliser un Service Tag pour autoriser uniquement les connexions de ce service spécifique à travers un pare-feu vers l’application. Microsoft suggère que lorsque les utilisateurs d’Azure créent ce type de politiques de sécurité, ils les appliquent aux Service Tags plutôt qu’aux adresses IP individuelles d’Azure. Tenable estime que ces tags peuvent être utilisés de manière abusive par un client Azure malveillant pour accéder aux biens d’autres clients – une attaque inter-locataire – si ces victimes se basent sur les Service Tags dans leurs règles de pare-feu. Cependant, Microsoft ne prévoit pas de corriger le problème car Redmond ne considère pas le problème comme une vulnérabilité. En revanche, Microsoft estime que la question est une incompréhension concernant la façon dont on décide « d’utiliser les Service Tags et leur objectif prévu ».