Scanner continuo dell'esposizione per le connessioni API di Azure
Verifica in modo continuo le connessioni API di Azure Logic Apps alla ricerca di token con privilegi eccessivi e di percorsi di attacco cross-tenant noti, prima che lo faccia qualcun altro.
Un brief pronto da incollare in Claude Code, Cursor o qualsiasi agente di programmazione (in inglese).
A favore
- Chi paga
- Responsabili della sicurezza cloud e AppSec in aziende molto orientate ad Azure (oltre 500 dipendenti) che usano Logic Apps e Power Platform; 1–3k $/mese dal budget per la cloud security posture.
- Cosa ha detto la gente · 4
- L'articolo mostra cinque distinti percorsi di compromissione cross-tenant attraverso le API Connection che danno accesso a Key Vault, database SQL, Jira e Salesforce delle vittime; l'autore ipotizza che i token di connessione non siano quasi mai limitati al minimo necessario. Dall'articolo ↗
- Microsoft ha corretto in modo errato la vulnerabilità segnalata, poi una correzione successiva ha reintrodotto quella precedente, lasciando di nuovo il sistema vulnerabile. Leggi il commento ↗
- Azure sembra guidare i concorrenti per fughe di dati cross-tenant, eppure le aziende continuano ad adottarlo. Leggi il commento ↗
- Le falle sono path traversal e IDOR di base, che probabilmente esistono dal lancio della funzionalità. Leggi il commento ↗
Parafrasato dalla discussione. Segui i link per i commenti originali.
- Concorrenti e lacuna
Gli strumenti CSPM segnalano errori di configurazione generici, ma nessuno modella in profondità la superficie di attacco di Logic Apps e API Connection: endpoint proxy in stile DynamicInvoke, override di host.api.RuntimeUrl, accesso implicito tra connessioni V1 e V2 e ambito dei privilegi dei token per ogni connettore. Defender for Cloud è il fornitore che continua a rilasciare correzioni difettose proprio su questa superficie.
- Perché ora
- Sono state pubblicate cinque exploit cross-tenant funzionanti su un unico sottosistema di connettori in una sola serie, le correzioni sono regredite più volte e i commentatori prevedono che la scoperta guidata da LLM moltiplicherà questa classe di problemi: i difensori hanno bisogno di test continui, non di pentest occasionali.
- Fossato · 6/10
- Una libreria di regole e grafi di attacco aggiornata con continuità per centinaia di tipi di connettori Azure ed endpoint non documentati, costruita con ricerca originale; harness di riproduzione e telemetria dei tenant si accumulano nel tempo e sono difficili da replicare rapidamente per i CSPM generici.
Contro
- Red team
- I CSPM mancano chiaramente questa specifica superficie di attacco di Logic Apps e API Connection, la ricerca dimostra che lo sfruttamento è reale e le aziende molto orientate ad Azure already spendono budget di livello Wiz per strumenti di posture.
- Cosa la farebbe fallire
- Microsoft riprogetta in modo definitivo le API Connection (imponendo managed identity e V2 ovunque) e la superficie di attacco specifica scompare più in fretta di quanto la base clienti possa convertirsi.
Partire
- I primi tre passi
- Creare un auditor Azure in sola lettura che enumeri le API Connection di un tenant, segnali le connessioni V1, i token OAuth non gestiti con ambiti backend ampi e gli endpoint dinamici raggiungibili.
- Riprodurre controlli sicuri e non distruttivi per le classi di attacco pubblicate (path traversal tramite DynamicInvoke, override di RuntimeUrl) sulle connessioni del cliente.
- Rilasciare una dashboard con avvisi che rieseguono i controlli alle modifiche di configurazione e dopo i fix di Microsoft, con indicazioni di rimedio per limitare il token di ogni connettore.
- Discussione originale
- Azure's Weakest Link – Five Full Cross-Tenant Compromises ↗ 329 punti60 commentiDalla storiaArticolo collegato
Tradotto dall'inglese. Leggi l'originale