E安全2月1日讯，据外媒报道，近日，以色列网络安全公司Check Point的研究人员披露了Microsoft Azure App Service中两个潜在高危漏洞的详细信息，这些漏洞如果被利用，可能会影响在Azure上运行其Web和移动应用程序的多家企业。
据了解，第一个是一个请求欺骗漏洞CVE-2019-1234，影响了Microsoft的混合云计算软件解决方案Azure Stack。若被利用，则可能使黑客能够未经授权地远程访问在Azure架构上运行的所有虚拟机的屏幕截图和敏感信息，无论它们是在共享、专用还是隔离的虚拟机上运行都会受到影响。
据研究人员称，此漏洞可通过Microsoft Azure Stack门户加以利用，该界面可以帮助用户访问使用Azure Stack创建的云。研究人员还发现了一种获取虚拟机名称和ID、核心硬件信息以及目标计算机总内存的方法，可能会被黑客加以利用。
第二个漏洞是一个远程代码执行漏洞CVE-2019-1372，影响了Azure Stack上的Azure应用服务，使黑客能够完全控制整个Azure服务器，从而控制整个企业的商业代码。此外，攻击者还可以通过使用Azure Cloud创建免费用户帐户并在其上运行恶意功能，或者将未经身份验证的HTTP请求发送到Azure Stack用户门户来利用这两个漏洞。
关于第二个漏洞Check Point发表了详细的技术文章表示，该漏洞主要存在于DWASSVC中。DWASSVC是一种服务，用于管理和运行承租人的应用程序。由于Azure Stack在将内存复制到缓冲区之前未能检查缓冲区的长度，因此攻击者可能会通过向DWASSVC服务发送特制消息来利用此漏洞，从而使其能够得到服务器权限以执行恶意代码。
目前，发现这两个漏洞的Check Point研究人员Ronen Shustin已将所发现的详细情况报告给了Microsoft，以黑客造成严重破坏和混乱，并获得了Microsoft 4万美元的漏洞奖励。
声明：本文来自E安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
