Microsoft a révélé lundi avoir atténué une faille de sécurité affectant Azure Synapse et Azure Data Factory qui, si elle est exploitée avec succès, pourrait entraîner l’exécution de code à distance. La vulnérabilité, suivie sous le nom de CVE-2022-29972, a été nommée « SynLapse » par des chercheurs d’Orca Security, qui ont signalé la faille à Microsoft en janvier 2022. « La vulnérabilité était spécifique au pilote tiers Open Database Connectivity (ODBC) utilisé pour se connecter à Amazon Redshift dans les pipelines Azure Synapse et Azure Data Factory Integration Runtime (IR) et n’a pas eu d’impact sur Azure Synapse dans son ensemble », a déclaré la société. . « La vulnérabilité aurait pu permettre à un attaquant d’exécuter des commandes à distance sur une infrastructure IR non limitée à un seul locataire. » En d’autres termes, un acteur malveillant peut armer le bogue pour acquérir le certificat de service Azure Data Factory et accéder aux runtimes d’intégration d’un autre locataire pour accéder à des informations sensibles, brisant ainsi les protections de séparation des locataires. Le géant de la technologie, qui a résolu la faille de sécurité le 15 avril, a déclaré n’avoir trouvé aucune preuve d’utilisation abusive ou d’activité malveillante associée à la vulnérabilité dans la nature. Cela dit, la société basée à Redmond a partagé les détections de Microsoft Defender pour Endpoint et Microsoft Defender Antivirus pour protéger les clients contre une exploitation potentielle, ajoutant qu’elle s’efforce de renforcer la sécurité des connecteurs de données tiers en travaillant avec des fournisseurs de pilotes. Les conclusions surviennent un peu plus de deux mois après que Microsoft a corrigé une faille « AutoWarp » affectant son service Azure Automation qui aurait pu permettre un accès non autorisé à d’autres comptes clients Azure et prendre le contrôle. Le mois dernier, Microsoft a également résolu une paire de problèmes – surnommés « ExtraReplica » – avec le serveur flexible Azure Database pour PostgreSQL qui pourraient entraîner un accès non approuvé à la base de données entre comptes dans une région.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *