El error de Microsoft Azure dejó un montón de bases de datos en la nube abiertas

Varias vulnerabilidades críticas en Azure Database for PostgreSQL Flexible Server fueron descubiertas y reparadas recientemente, anunció Microsoft en un aviso de seguridad.

Según lo informado por BleepingComputer, las vulnerabilidades podrían haber permitido a los usuarios malintencionados elevar sus privilegios y obtener acceso a las bases de datos de los clientes. Afortunadamente, el exploit no se usó para atacar a los clientes de Azure antes de que se lanzara el parche y no se tomaron datos, confirmó Microsoft.

Dado que el parche se implementó hace más de un mes, los clientes de Azure no necesitan realizar ningún paso adicional para proteger sus terminales.

Parches implementados

Con Flexible Server, los usuarios de Azure Database for PostgreSQL tienen más control sobre sus bases de datos. Sin embargo, en este caso, Flexible Server había creado una apertura para el ataque.

"Al explotar un error de permisos elevados en el proceso de autenticación del servidor flexible para un usuario de replicación, un usuario malicioso podría explotar una expresión regular mal anclada para evitar la autenticación para acceder a las bases de datos de otros clientes", dijo Microsoft.

"Esto se mitigó en 48 horas (13 de enero de 2022). Los clientes que usaban la opción de red de acceso privado no estaban expuestos a esta vulnerabilidad. La oferta de servidor único de Postgres no se vio afectada".

A fines de febrero, se implementaron todos los parches, continuó Microsoft.

Aún así, la compañía dijo que sería una buena idea implementar servidores flexibles de PostgreSQL en Azure Virtual Networks (VNets) porque brindan una comunicación de red privada y segura.

"Para minimizar aún más la exposición, recomendamos que los clientes habiliten el acceso a la red privada al configurar sus instancias de servidor flexible", dijo la compañía.

Wiz Research, la compañía de seguridad en la nube que descubrió el error por primera vez, lo denominó ExtraReplica y agregó que había dificultades para rastrear las vulnerabilidades de la nube.

“Al igual que con otras vulnerabilidades de la nube, a este problema no se le ha asignado un identificador CVE (a diferencia de las vulnerabilidades de software). No está registrado ni documentado en ninguna base de datos”, dijo. "La falta de una base de datos de este tipo afecta la capacidad de los clientes para monitorear, rastrear y responder a las vulnerabilidades de la nube".

Vía BleepingComputer