多名安全专家近期指责微软 ，安全称其在回应威胁其客户的专家指责漏洞报告时缺乏透明度和足够的速度 。在本周二发布的微软博文中就阐述了微软在这方面的失败 ，内容称微软在修复 Azure 中的修复一个关键漏洞用了 5 个月的时间 ，而且先后发布了 3 个补丁 。关键
Orca Security 在 1 月初首次向微软通报了该漏洞，漏洞该漏洞位于云服务的上耗时长 Synapse Analytics 组件中 ，并且还影响了 Azure 数据工厂。安全它使任何拥有 Azure 帐户的建站模板专家指责人都能够访问其他客户的资源 。
Orca Security 研究员 Tzah Pahima 表示，微软攻击者可以实现 在充当 Synapse 工作区的修复同时在其他客户帐户中获得授权 。根据配置 ，关键我们可以访问客户帐户中的漏洞更多资源 。泄露存储在 Synapse 工作区中的上耗时长客户凭据 。与其他客户的安全集成运行时进行通信。可以利用它在任何客户的集成运行时上运行远程代码 (RCE) 。控制管理所有共享集成运行时的源码下载 Azure 批处理池 。可以在每个实例上运行代码 。Pahima 说 ，尽管该漏洞很紧迫 ，但微软的响应者却迟迟没有意识到它的严重性。微软在前两个补丁中搞砸了 ，直到周二，微软才发布了完全修复该漏洞的更新。 Pahima 提供的时间表显示了他的公司花费了多少时间和工作来引导微软完成整治过程 ： 1 月 4 日 – Orca 安全研究团队向 Microsoft 安全响应中心 (MSRC) 披露了该漏洞 ，以及我们能够提取的免费模板密钥和证书 。2 月 19 日和 3 月 4 日——MSRC 要求提供更多细节以帮助其调查 。每次 ，我们都会在第二天回复 。3 月下旬 – MSRC 部署了初始补丁 。3 月 30 日 – Orca 能够绕过补丁 。突触仍然脆弱 。3 月 31 日 - Azure 奖励我们 60,000 美元用于我们的发现。4 月 4 日（披露后 90 天）– Orca Security 通知 Microsoft 密钥和证书仍然有效 。 Orca 仍然可以访问 Synapse 管理服务器 。4 月 7 日 – Orca 与 MSRC 会面 ，以阐明该漏洞的影响以及全面修复该漏洞所需的步骤 。高防服务器4 月 10 日 - MSRC 修补绕过 ，最终撤销 Synapse 管理服务器证书 。 Orca 能够再次绕过补丁 。突触仍然脆弱 。4 月 15 日 - MSRC 部署第三个补丁，修复 RCE 和报告的攻击向量 。5 月 9 日 – Orca Security 和 MSRC 都发布了博客 ，概述了漏洞 、缓解措施和针对客户的建议 。5 月底 – Microsoft 部署了更全面的租户隔离 ，包括用于共享 Azure 集成运行时的临时实例和范围令牌。源码库他表示：“任何使用 Azure Synapse 服务的人都可以利用这两个漏洞 。在评估情况后 ，微软决定默默修补其中一个问题，淡化风险。只是在被告知我们将要上市之后 ，他们的故事才发生了变化……在最初的漏洞通知后 89 天……他们私下承认了安全问题的严重性 。迄今为止 ，尚未通知 Microsoft 客户” 。 |
探索如何将锁屏变成个性主题（打造独特的手机锁屏体验）使用U盘安装新硬盘系统教程（一步步教你如何利用U盘轻松安装新硬盘系统）SKG抽油烟机质量评测（全面分析SKG抽油烟机的性能与可靠性）神舟k710c评测（体验神舟k710c，畅享高性能办公娱乐利器）数据中心电源的五大趋势华硕笔记本光盘换系统安装教程（轻松学会如何通过光盘更换华硕笔记本系统）尼康D700（探索尼康D700的出色性能和多功能特点）《雨林木风win764系统安装教程》（详细教你如何安装雨林木风win764系统）科学解读长胖的原因及对策（揭秘肥胖真相，健康瘦身秘籍一网打尽）蒸汽吸尘器的清洁效果及优点（以蒸汽吸尘器为主题的家居清洁新选择）网站建设企业服务器b2b信息平台香港物理机源码库亿华云云服务器
