Scanner contínuo de exposição para conexões de API no Azure
Audita continuamente as conexões de API do Azure Logic Apps em busca de tokens com privilégios excessivos e caminhos de ataque cross-tenant conhecidos, antes que outros os encontrem.
Um briefing pronto para colar no Claude Code, Cursor ou qualquer agente de programação (em inglês).
A favor
- Quem paga
- Líderes de segurança em nuvem e gerentes de AppSec em empresas de grande porte (500+ funcionários) com forte uso de Azure, que executam Logic Apps e Power Platform; US$ 1 a 3 mil/mês, vindos do orçamento de postura de segurança em nuvem.
- O que as pessoas disseram · 4
- O artigo mostra cinco caminhos distintos de comprometimento cross-tenant via API Connections que dão acesso a Key Vaults, bancos SQL, Jira e Salesforce das vítimas, e o autor supõe que os tokens de conexão quase nunca têm escopo mínimo. Do artigo ↗
- A Microsoft corrigiu o bug relatado de forma incorreta, depois uma correção posterior reintroduziu o problema anterior, deixando o sistema vulnerável novamente. Ler o comentário ↗
- O Azure parece liderar os concorrentes em vazamentos cross-tenant, mas empresas continuam adotando a plataforma. Ler o comentário ↗
- As falhas são path traversal e IDOR básicos, que provavelmente existem desde o lançamento do recurso. Ler o comentário ↗
Parafraseado da discussão. Siga os links para ler os comentários originais.
- Concorrentes e lacuna
Ferramentas CSPM sinalizam más configurações genéricas, mas nenhuma modela em profundidade a superfície de ataque de Logic Apps e API Connections: endpoints proxy no estilo DynamicInvoke, sobrescritas de host.api.RuntimeUrl, acesso implícito em conexões V1 versus V2 e escopo de privilégio de token por conector. O Defender for Cloud é o fornecedor que continua lançando correções falhas exatamente nessa superfície.
- Por que agora
- Cinco exploits cross-tenant funcionais em um mesmo subsistema de conectores foram publicados em uma única série, as correções regrediram repetidamente, e comentaristas esperam que a descoberta com LLMs multiplique essa classe de achados; defensores precisam de testes contínuos, não de pentests pontuais.
- Fosso · 6/10
- Uma biblioteca de regras e grafo de ataques continuamente atualizada, para centenas de tipos de conectores do Azure e endpoints não documentados, construída a partir de pesquisa original; harnesses de reprodução e telemetria de tenants se acumulam ao longo do tempo e são difíceis de replicar rapidamente para CSPMs genéricos.
Contra
- Time vermelho
- Os CSPMs comprovadamente deixam passar essa superfície específica de Logic Apps e API Connections, a pesquisa prova a explorabilidade real, e empresas com forte uso de Azure já pagam orçamentos da escala da Wiz por ferramentas de postura.
- O que a faria fracassar
- A Microsoft eventualmente rearquiteta as API Connections de forma adequada (forçando identidade gerenciada e V2 em todos os lugares) e a superfície de ataque específica desaparece mais rápido do que a base de clientes converte.
Começar
- Primeiros três passos
- Construir um auditor somente leitura do Azure que enumere as conexões de API de um tenant e sinalize conexões V1, tokens OAuth não gerenciados com escopos amplos no backend e endpoints dinâmicos alcançáveis.
- Reproduzir verificações seguras e não destrutivas das classes de ataque publicadas (path traversal via DynamicInvoke, sobrescrita de RuntimeUrl) apenas nas conexões do próprio cliente.
- Lançar um painel e alertas que reexecutem as verificações após mudanças de configuração e após a Microsoft implantar correções, com orientações de remediação para restringir o escopo do token de cada conector.
- Discussão original
- Azure's Weakest Link – Five Full Cross-Tenant Compromises ↗ 329 pontos60 comentáriosDa históriaArtigo vinculado
Traduzido do inglês. Ler o original