Según informó binarysecurity.no, el investigador de seguridad que firma el blog describió nuevas vulnerabilidades en API Connections, un componente de Azure Logic Apps, el servicio de flujos de trabajo automatizados de Microsoft. Es la continuación de una serie de publicaciones anteriores sobre el mismo sistema. En conjunto, los hallazgos le significaron una recompensa de unos 200.000 dólares.
De acuerdo con el texto, estas conexiones permitirían que un atacante tomara el control completo de cualquier otra conexión del mundo y, con ella, del servicio de backend al que apunta. Entre los ejemplos mencionados figuran almacenes de claves (Key Vaults) y bases de datos Azure SQL de otros inquilinos, además de servicios externos conectados, como Jira o Salesforce. Según el autor, lo que impide la explotación son las capas de validación de entrada, aunque es difícil cubrir todos los casos límite.
Cómo funcionaba el ataque
La idea central es engañar al servicio que realiza las llamadas para que opere sobre una conexión que no pertenece al atacante. Así, el atacante usaría el token configurado para la conexión de la víctima. El investigador señala que la API de administración de recursos de Azure (ARM) tiene acceso amplio a todo, lo que facilitaba el recorrido de esta vía. También aclara que la explotación depende de cómo se hayan configurado los permisos: en conexiones OAuth, el token suele ser el de la persona que creó la conexión, y en las de clave API, según su estimación, rara vez se limitan los privilegios.
