Onderzoekers van CyberArk hebben een kwetsbaarheid gevonden in het login-systeem van Microsoft, waardoor het mogelijk is om Azure accounts over te nemen. Het lek betreft specifieke Microsoft OAuth 2.0 applicaties, waarbij het mogelijk is om authenticatie-tokens aan te maken met gebruikerstoestemming.
Aanvallers kunnen op die manier toegang krijgen en controle over een account overnemen. Het lek is eind oktober gerapporteerd bij Microsoft en drie weken later gerepareerd. CyberArk heeft sinds gisteren een scanning-tool online gezet waarmee iedereen zelf kan ontdekken of er kwetsbare applicaties in een Azure-omgeving draaien.
OAuth is een autorisatie-protocol waarmee websites en applicaties toegang krijgen tot gebruikersinformatie van andere sites, zonder daadwerkelijk secrets of wachtwoorden te delen. Het wordt door bedrijven veel gebruikt om gegevens te delen met andere apps en sites. De nieuwe generatie van het OAuth-protocol, OAuth2, biedt toegang tot HTTP-services via een client (zoals een site of mobiele app). Het protocol zelf is goed gebouwd, maar een verkeerde implementatie of verkeerd gebruik en configuratie kan een schadelijk effect hebben. Tijdens het autorisatieproces worden tokens aangemaakt voor de specifieke toestemming. De kwetsbaarheid leidde ertoe dat deze tokens konden worden gestolen.
De onderzoekers van CyberArk vonden tientallen subdomeinen die verbonden zijn met de Microsoft-applicaties waarvoor de tokens worden aangemaakt. Deze zijn gemeld zodat Microsoft maatregelen kon nemen, maar de beveiligingsspecialist waarschuwt dat er nog meer kunnen zijn. Vandaar dat nu de scanning-tool beschikbaar wordt gesteld.
De technische uitleg van het lek is te vinden op www.cyberark.com
De scanning-tool is te vinden op black.direct
2 april 2025 Schrijf in voor al weer de twaalfde editie van ons jaarlijkse congres met wederom een ijzersterke sprekers line-up. Op deze editie behandelen wij belangrijke thema’s als Moderne (Native-Cloud) Data Architecturen, Datawarehouse Desi...
3 april 2025 (halve dag)Praktische workshop met Alec Sharp [Halve dag] Deze workshop door Alec Sharp introduceert conceptmodellering vanuit een non-technisch perspectief. Alec geeft tips en richtlijnen voor de analist, en verkent datamodellering op c...
7 t/m 9 april 2025Praktische workshop met internationaal gerenommeerde spreker Alec Sharp over het modelleren met Entity-Relationship vanuit business perspectief. De workshop wordt ondersteund met praktijkvoorbeelden en duidelijke, herbruikbare richt...
20 en 21 mei 2025 Deze workshop behandelt de implementatie van Knowledge Graphs en Large Language Models binnen organisaties en biedt een uitgebreid raamwerk waarin geavanceerde technieken worden gecombineerd met praktijkcases en oefeningen. Het vo...
22 mei 2025 Workshop met BPM-specialist Christian Gijsels over AI-Gedreven Business Analyse met ChatGPT. Kunstmatige Intelligentie, ongetwijfeld een van de meest baanbrekende technologieën tot nu toe, opent nieuwe deuren voor analisten met innovatie...
2 t/m 4 juni 2025 De DAMA DMBoK2 beschrijft 11 disciplines van Data Management, waarbij Data Governance centraal staat. De Certified Data Management Professional (CDMP) certificatie biedt een traject voor het inleidende niveau (Associate) tot en me...
Alleen als In-house beschikbaarWorkshop met BPM-specialist Christian Gijsels over business analyse, modelleren en simuleren met de nieuwste release van Sparx Systems' Enterprise Architect, versie 16.Intensieve cursus waarin de belangrijkste basisfunc...
Deel dit bericht