Microsoft ha reconocido que solucionó una grave falla en su servicio en la nube Azure que afectaba a varias aplicaciones internas, incluidas Bing y Office 365. La falla fue descubierta por investigadores de seguridad de Wiz. Una empresa especializada en seguridad en la nube, que lograron acceder al sistema de gestión de contenidos (CMS) que alimenta el buscador Bing.com.
Según explicaron los investigadores en una publicación del blog, este fallo se debía a una desconfiguración común en Azure Active Directory, el servicio que gestiona las identidades y el acceso a las aplicaciones en la nube. Esta desconfiguración permitía a cualquier usuario con una cuenta gratuita de Azure obtener privilegios elevados sobre varias aplicaciones internas de Microsoft, sin necesidad de autenticación ni autorización.
Adiós a una grave vulnerabilidad en Azure que habría afectado a Bing y Microsoft 365
Una de las aplicaciones vulnerables era el CMS de Bing.com. Esto les permitió modificar los resultados de búsqueda y lanzar ataques XSS (cross-site scripting) a los usuarios del buscador. Estos ataques podrían comprometer los datos personales de los usuarios, como sus correos electrónicos o sus documentos almacenados en Office 365.
Los investigadores alertaron a Microsoft sobre la falla el 2 de febrero, y la empresa la solucionó en cinco días. Curiosamente, este fue el mismo día en que Microsoft presentó al mundo su chatbot basado en IA para Bing. No está claro si el chatbot estaba afectado por el fallo o si se benefició de las correcciones.
Este incidente no es el primero que afecta a la seguridad de Azure. En diciembre de 2020, Microsoft reveló que su servicio en la nube había sido comprometido por los hackers responsables del ataque a SolarWinds. Una empresa de software que proveía a varias agencias gubernamentales y empresas privadas de Estados Unidos. Los hackers lograron acceder al código fuente de algunos componentes de Azure. Aunque Microsoft aseguró que no había evidencia de que hubieran modificado o robado datos.
La seguridad en la nube es un tema cada vez más relevante, ya que cada vez más empresas y organizaciones migran sus servicios y datos a plataformas como Azure, AWS o Google Cloud. Estas plataformas ofrecen ventajas como la escalabilidad, la flexibilidad y el ahorro de costes, pero también implican riesgos y desafíos en cuanto a la protección de la información y la privacidad de los usuarios. Por eso, es fundamental que tanto los proveedores como los clientes de servicios en la nube adopten medidas para garantizar una configuración adecuada y una monitorización continua de sus aplicaciones.
