A Microsoft está alertando sobre o potencial abuso das Etiquetas de Serviço do Azure por atores maliciosos para falsificar solicitações de um serviço confiável e contornar regras de firewall, permitindo assim acesso não autorizado a recursos na nuvem.

“Esse caso destaca um risco inerente ao usar etiquetas de serviço como um único mecanismo para verificar o tráfego de rede de entrada,” disse o Centro de Resposta de Segurança da Microsoft (MSRC) em uma orientação emitida na semana passada.

“As etiquetas de serviço não devem ser tratadas como uma fronteira de segurança e devem ser usadas apenas como um mecanismo de roteamento em conjunto com controles de validação. As etiquetas de serviço não são uma maneira abrangente de garantir o tráfego para a origem de um cliente e não substituem a validação de entrada para prevenir vulnerabilidades que possam estar associadas a solicitações da web.”

A declaração vem em resposta às descobertas da empresa de cibersegurança Tenable, que constatou que clientes do Azure cujas regras de firewall dependem das Etiquetas de Serviço do Azure poderiam ser contornadas. Não há evidências de que a vulnerabilidade tenha sido explorada.

O problema, em sua essência, deriva do fato de que alguns dos serviços do Azure permitem tráfego de entrada por meio de uma etiqueta de serviço, potencialmente permitindo que um atacante em um locatário envie solicitações web especialmente elaboradas para acessar recursos em outro, desde que tenha sido configurado para aceitar tráfego da etiqueta de serviço e não execute nenhuma autenticação própria.

Dez serviços do Azure foram encontrados vulneráveis: Azure Application Insights, Azure DevOps, Azure Machine Learning, Azure Logic Apps, Azure Container Registry, Azure Load Testing, Azure API Management, Azure Data Factory, Azure Action Group, Azure AI Video Indexer e Azure Chaos Studio.

“Essa vulnerabilidade permite que um atacante controle solicitações do lado do servidor, se passando por serviços confiáveis do Azure,” disse a pesquisadora da Tenable, Liv Matan. “Isso permite que o atacante contorne os controles de rede baseados em Etiquetas de Serviço, que são frequentemente usados para evitar acesso público aos ativos internos, dados e serviços dos clientes do Azure.”

Em resposta à divulgação no final de janeiro de 2024, a Microsoft atualizou a documentação para observar explicitamente que “As Etiquetas de Serviço por si só não são suficientes para garantir o tráfego sem considerar a natureza do serviço e o tráfego que ele envia.”

Também é recomendado que os clientes revisem o uso das etiquetas de serviço e garantam que tenham adotado barreiras de segurança adequadas para autenticar apenas o tráfego de rede confiável para as etiquetas de serviço.