{"id":286105,"date":"2023-09-19T00:01:41","date_gmt":"2023-09-18T22:01:41","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=286105"},"modified":"2023-09-19T01:42:57","modified_gmt":"2023-09-18T23:42:57","slug":"datenleck-microsoft-ai-forscher-verlieren-38-tbyte-an-internen-daten-ber-github-azure-cloud-speicher","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2023\/09\/19\/datenleck-microsoft-ai-forscher-verlieren-38-tbyte-an-internen-daten-ber-github-azure-cloud-speicher\/","title":{"rendered":"Datenleck: Microsoft AI-Forscher verlieren 38 TByte an internen Daten über GitHub\/Azure Cloud-Speicher"},"content":{"rendered":"

[English<\/a>]N\u00e4chster Datenschutz- und Sicherheitsvorfall bei Microsoft: Sicherheitsforscher von Wiz sind \u00fcber ein \u00f6ffentliches Microsoft AI GitHub Repository auf private interne Daten im Umfang von 38 Terabyte, die auf einer Azure Cloud Store-Instanz gespeichert waren, gesto\u00dfen. Der Zugriff wurde durch ein falsch konfiguriertes SAS-Token erm\u00f6glicht, hei\u00dft es. Dieses gigantische Datenleck enthielt auch die Backups zweier Microsoft Mitarbeiter mit geheimen Schl\u00fcsseln und Zugangsdaten sowie \u00fcber 30.000 interne Microsoft Teams-Nachrichten.<\/p>\n

<\/p>\n

\"\"Wenn es noch eines Beweises bedurfte, dass uns bzw. auch den Microsoft Angestellten die IT-Sicherheit entgleitet, dann liegt dieser nun vor. Ich bin gerade von zwei Blog-Lesern per Kommentar und auf Twitter auf diesen Vorfall hingewiesen worden – danke daf\u00fcr.<\/p>\n

Datenleck bei Microsoft AI-Forschern<\/h2>\n

Ein Team von Wiz-Sicherheitsforschern durchforstet das Internet nach in der Cloud gehosteten Daten, die irrt\u00fcmlich \u00f6ffentlich einsehbar sind. Im Rahmen dieser Aktivit\u00e4ten haben sie auch einen Blick auf ein \u00f6ffentliches GitHub-Repository der Microsoft AI-Forschungsgruppe geworfen. Dort sollen sich Interessierte eigentlich Trainingsdaten herunterladen k\u00f6nnen. Aber \u00fcber die dort angegebenen URLs f\u00fcr die Downloads war noch mehr m\u00f6glich. Die Wiz-Sicherheitsforscher schreiben, bei der Freigabe von Open-Source-Trainingsdatens\u00e4tzen habe das KI-Forschungsteam von Microsoft versehentlich die T\u00fcr zum Tresorraum offen gelassen.<\/p>\n

\"GitHub<\/a><\/p>\n

Die Sicherheitsforscher haben den Vorfall im Rahmen einer verantwortlichen Offenlegung in diesem Blog-Beitrag<\/a> sowie auf X in einer Serie von Tweets<\/a> \u00f6ffentlich gemacht. Auch von Microsoft gibt es diesen Blog-Beitrag<\/a>, der zeitgleich ver\u00f6ffentlicht wurde.<\/p>\n

Was ist passiert?<\/h2>\n

\u00dcber ein GitHub-Repository werden von der Microsoft AI-Forschungsgruppe interessierten Entwicklern Open-Source-Code und KI-Modelle f\u00fcr die Bilderkennung \u00f6ffentlich zum Download bereitstellt. Interessierte konnten sich die Modelle \u00fcber eine angegebene URL von einer Azure Storage-Instanz herunterladen (siehe nachfolgendes Bild).<\/p>\n

\"Download<\/p>\n

Soweit nichts ungew\u00f6hnliches, solche \u00f6ffentlichen GitHub-Repositories gibt es von Microsoft einige und die werden auch genutzt. Als die Sicherheitsforscher aber genauer hinschauten, fanden sie heraus, dass zu dieser URL ein falsch konfiguriertes SAS-Token geh\u00f6rte, welches Dritten die Berechtigungen zum Zugriff auf das gesamte Speicherkonto gew\u00e4hrte.<\/p>\n

In Azure ist ein SAS-Token (Shared Access Signature) eine signierte URL, die Zugriff auf Azure Storage-Daten gew\u00e4hrt. Die Zugriffsebene kann vom Benutzer angepasst werden; wobei die Berechtigungen von schreibgesch\u00fctzt bis zur vollst\u00e4ndigen Kontrolle reichen. Dabei kann der Umfang der Zugriffsrechte sich entweder auf eine einzelne Datei, einen Container oder ein ganzes Speicherkonto beziehen. Auch die Ablaufzeit f\u00fcr Zugriffe ist vollst\u00e4ndig anpassbar, so dass der Benutzer Token mit unbegrenzter G\u00fcltigkeitsdauer erstellen kann. Diese Granularit\u00e4t bietet den Benutzern eine gro\u00dfe Flexibilit\u00e4t, birgt aber auch das Risiko, zu viel Zugriff zu gew\u00e4hren. Im freiz\u00fcgigsten Fall (wie beim obigen Token von Microsoft) kann das Token f\u00fcr immer volle Kontrollrechte f\u00fcr das gesamte Konto gew\u00e4hren – und damit im Wesentlichen dieselbe Zugriffsstufe wie der Kontoschl\u00fcssel selbst bieten.<\/p>\n

Die Wiz-Sicherheitsforscher geben an, dass das SAS-Token der URL auf den Azure Storage-Bereich nicht nur Zugriff auf die eigentlich privaten Daten erm\u00f6glicht, sondern auch noch die volle Kontrolle gew\u00e4hrte. Ein Angreifer h\u00e4tte nicht nur alle Dateien des Azure-Speicherkonto einsehen, sondern auch vorhandene Dateien l\u00f6schen und \u00fcberschreiben k\u00f6nnen. Laut den Sicherheitsforschern h\u00e4tte ein Angreifer b\u00f6sartigen Code in alle KI-Modelle in diesem Speicherkonto h\u00e4tte einschleusen k\u00f6nnen, und jeder Benutzer, der dem GitHub-Repository von Microsoft vertraut, w\u00e4re damit infiziert worden.\u00a0 Der perfekte Lieferkettenangriff auf das Microsoft KI-Trainingsmaterial und die gespeicherten Dateien.<\/p>\n

Ein 38 TByte gro\u00dfes Datenleck<\/h2>\n

F\u00fcr die Sicherheitsforscher war es aber im ersten Schritt interessanter, was man auf dem unbeabsichtigt zug\u00e4nglichen Speicherbereich so finden konnte. Der Scan der Speicherinstanz dieses Kontos durch das Wiz-Team ergab, dass dadurch versehentlich 38 TB an zus\u00e4tzlichen privaten Daten \u00f6ffentlich einsehbar waren.<\/p>\n

\"A<\/a><\/p>\n

Obiger Tweet<\/a> und das darin eingebettete Schema verdeutlichen den Sachverhalt, nachfolgendes Bild zeigt die Verzeichnisstruktur des Bereichs der Azure Storage-Instanz, die eigentlich privat sein sollte.<\/p>\n

\"Folder<\/p>\n

Die \u00fcber das GitHub Repository erreichbaren Verzeichnisse enthielten die pers\u00f6nlichen Computer-Backups von zwei Microsoft-Mitarbeitern. In diesen Backups fanden sich sensible pers\u00f6nliche Daten, darunter Passw\u00f6rter f\u00fcr Microsoft-Dienste, geheime Schl\u00fcssel und \u00fcber 30.000 interne Microsoft Teams-Nachrichten von 359 Microsoft-Mitarbeitern.<\/p>\n

Das war mal wieder der Jackpot mit den Kronjuwelen aus dem Microsoft Tresor – fast so etwas wie ich gerade im Beitrag Interview: Der kleingeredete Hack der Microsoft Cloud<\/a> zum Storm-0558-Hack der Azure-Cloud zusammengefasst hatte.<\/p><\/blockquote>\n

Die Sicherheitsforscher von Wiz erl\u00e4utern in ihrem Blog-Beitrag<\/a> noch eine Reihe an Details und erkl\u00e4ren die Risiken bei der Verwendung von SAS-Tokens. Die Tokens sind schnell konfiguriert, aber Konto-SAS-Tokens extrem schwer zu verwalten und zu widerrufen sind. Es gibt laut Wiz keine offizielle M\u00f6glichkeit, diese Token innerhalb von Azure zu verfolgen oder die Token-Ausgabe zu \u00fcberwachen. SAS-Tokens werden auf der Client-Seite erstellt, und sind keine Azure-Objekte. Aus diesem Grund kann sogar ein scheinbar privates Speicherkonto potenziell weit offengelegt werden. Der perfekte Ansatz f\u00fcr Chaos und solche Vorf\u00e4lle.<\/p>\n

Interessante Zeitleiste des Vorfalls<\/h2>\n

Das SAS-Token wurde am 20. Juli 2020 erstmals auf GitHub eingestellt, wobei ein Ablaufdatum auf 5. Oktober 2021 festgelegt worden ist. Dann wurde am 6. Oktober 2021 das Ablauf-Token erneuert und mit dem Ablaufdatum\u00a0 6. Oktober 2051 versehen. Keine Ahnung, ob zu diesem Datum den heutigen Protagonisten noch etwas \"weh tut\" oder Microsoft noch existiert.<\/p>\n

Die Sicherheitsforscher von Wiz stie\u00dfen am 22. Juni 2023 auf das Problem und meldeten dieses dem MSRC. Zu diesem Zeitpunkt stand die Azure-Speicherinstanz wohl bereits zwei Jahre f\u00fcr Unbefugte offen. Dann ging es sehr fix, bereits zwei Tage sp\u00e4ter, am 24. Juni 2023 wurde das SAS-Token von Microsoft f\u00fcr ung\u00fcltig erkl\u00e4rt. Am 7. Juli 2023 wird das SAS-Token wird auf GitHub komplett ersetzt. Im Hintergrund laufen interne Untersuchungen Microsofts im Hinblick auf m\u00f6gliche Auswirkungen, die am 16. August 2023 abgeschlossen werden. Am 18. September 2023 geben Wiz und Microsoft zeitgleich den Vorfall \u00f6ffentlich bekannt.<\/p>\n

Wie Microsoft die Dinge sieht<\/h2>\n

Microsoft hat den Sicherheitsvorfall im Beitrag Microsoft mitigated exposure of internal information in a storage account due to overly-permissive SAS token<\/a> \u00f6ffentlich gemacht. Dort hei\u00dft es, dass Microsoft eine Offenlegung interner Informationen in einem Speicherkonto auf Grund zu lax gew\u00e4hrter Zugriffsrechte mittels SAS-Tokens entsch\u00e4rft habe.<\/p>\n

Man habe den Vorfall, in den ein Microsoft-Mitarbeiter verwickelt war, untersucht und behoben. Im Beitrag wird die obige Darstellung von Wiz best\u00e4tigt und auch zugegeben, dass zu den Daten, die in diesem fehl konfigurierten Speicherkonto offengelegt wurden, auch Backups der Arbeitsplatzprofile zweier ehemaliger Mitarbeiter sowie interne Microsoft Teams-Nachrichten dieser beiden Mitarbeiter mit ihren Kollegen austauschten, geh\u00f6rten.<\/p>\n

Microsoft legt Wert darauf, dass keine Kundendaten preisgegeben wurden, und es seien auch keine anderen internen Dienste durch dieses Problem gef\u00e4hrdet gewesen. Als Reaktion auf dieses Problem seien keine Kundenma\u00dfnahmen erforderlich – wie h\u00f6rte ich bei \u00e4hnlichen Vorf\u00e4llen aus meiner Blog-Leserschaft \"Man ist mit einem blauen Auge davon gekommen\". Immerhin meint teilt Microsoft mit, dass man im Beitrag die gewonnenen Erkenntnisse und bew\u00e4hrten Verfahren teile, um Kunden zu informieren und ihnen zu helfen, \u00e4hnliche Vorf\u00e4lle in Zukunft zu vermeiden. Diese Erkl\u00e4rungen und \"gute Ratschl\u00e4ge Microsofts, wie man so etwas vermeidet\", lassen sich im verlinkten Beitrag nachlesen.<\/p>\n

\u00c4hnliche Artikel:<\/strong>
\nChina-Hacker (Storm-0558) in Microsofts Cloud, Outlook Online-Konten gehackt<\/a>
\nNachlese zum Storm-0558 Cloud-Hack: Microsoft tappt noch im Dunkeln<\/a>
\nNach CISA-Bericht zum Storm-0558-Hack stellt Microsoft Kunden erweitertes Cloud-Logging bereit<\/a>
\nGAU: Geklauter AAD-Schl\u00fcssel erm\u00f6glichte (Storm-0558) weitreichenden Zugang zu Microsoft Cloud-Diensten<\/a>
\nMicrosofts Cloud-Hack: \u00dcberpr\u00fcfung durch US Cyber Safety Review Board<\/a>
\nMicrosoft Cloud-Hack durch Storm-0558: US-Senatoren unter den Opfern; Pr\u00fcfpflicht f\u00fcr europ\u00e4ische Verantwortliche<\/a>
\nNachgehakt: Storm-0558 Cloud-Hack und Microsofts Schweigen<\/a>
\nMicrosofts Storm-0558 Cloud-Hack: Schl\u00fcssel stammt aus Windows Crash Dump eines PCs<\/a>
\nInterview: Der kleingeredete Hack der Microsoft Cloud<\/a><\/p>\n

Sicherheitsrisiko Microsoft? Feuer von der US-Politik nach Microsofts Azure Cloud-GAU und Forderung zum Microsoft Exit<\/a> \u2013 Teil 1
\nSicherheitsrisiko Microsoft? Azure-Schwachstelle seit M\u00e4rz 2023 ungepatcht, schwere Kritik von Tenable<\/a> \u2013 Teil 2<\/p>\n

Antworten von Microsoft zum Hack der Microsoft Azure-Cloud durch Storm-0558 \u2013 Teil 1<\/a>
\nAntwort vom BfDI, Ulrich Kelber, zum Hack der Microsoft Azure-Cloud durch Storm-0558 \u2013 Teil 2<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

[English]N\u00e4chster Datenschutz- und Sicherheitsvorfall bei Microsoft: Sicherheitsforscher von Wiz sind \u00fcber ein \u00f6ffentliches Microsoft AI GitHub Repository auf private interne Daten im Umfang von 38 Terabyte, die auf einer Azure Cloud Store-Instanz gespeichert waren, gesto\u00dfen. Der Zugriff wurde durch ein … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7263,426],"tags":[1171,451,4328],"class_list":["post-286105","post","type-post","status-publish","format-standard","hentry","category-cloud","category-sicherheit","tag-cloud","tag-datenschutz","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/286105","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=286105"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/286105\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=286105"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=286105"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=286105"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}