Một nhà nghiên cứu bảo mật vừa công bố năm lỗ hổng nghiêm trọng trong API Connections, thành phần của Azure Logic Apps thuộc Microsoft (MSFT). Với các lỗ hổng này, bất kỳ ai cũng có thể chiếm quyền một kết nối của khách hàng khác trên toàn cầu. Nhà nghiên cứu nhận được tổng cộng 200.000 USD tiền thưởng từ chương trình săn lỗ hổng bảo mật.

Kết nối của bạn có thể bị người lạ dùng

API Connections giống như một chiếc chìa khóa dự phòng mà doanh nghiệp giao cho Azure để mở các dịch vụ khác như Key Vault, cơ sở dữ liệu Azure SQL, Jira hay Salesforce. Khi một ứng dụng gọi dịch vụ, hệ thống sẽ đổi mã truy cập tạm thời lấy chìa khóa thật rồi mới gửi yêu cầu đi.

Vấn đề là hệ thống này dùng chung một lớp trung gian cho mọi khách hàng. Nếu kẻ tấn công đánh lừa được lớp này làm việc trên kết nối của người khác, họ sẽ dùng được chìa khóa của nạn nhân để truy cập dữ liệu ở dịch vụ phía sau.

Điều gì đang ngăn chặn tấn công?

Theo nhà nghiên cứu, thứ duy nhất che chắn hiện nay là các lớp kiểm tra dữ liệu đầu vào được gắn thêm vào các hệ thống. Nhưng việc bịt hết mọi kẽ hở như vậy rất khó, nên mới xuất hiện thêm nhiều lỗ hổng cùng gốc.

Với doanh nghiệp, đây là lời nhắc rằng công nghệ đám mây cũng có điểm yếu về kiến trúc. Nên rà soát quyền truy cập của các kết nối tự động và theo dõi bản cập nhật bảo mật từ Microsoft.