微软已经修复了数十个潜在的严重Azure安全漏洞

微软透露，2022年7月补丁星期二累积更新修复了Azure灾难恢复服务中发现的数十个严重漏洞。该公司最近发布了2022年7月补丁星期二更新的详细分类，该更新共解决了84个漏洞，包括AzureSiteRecovery，这是一种灾难恢复工具，可在紧急情况下自动将工作负载切换到不同的位置，以及已修复32个漏洞。

在这32个中，两个允许潜在的远程代码执行，而其余30个允许威胁参与者提升他们的权限。

微软解释说，大多数权限提升漏洞是由SQL注入漏洞引起的，并补充说还发现了DLL劫持漏洞。

后者由漏洞管理专家Tenable发现，被跟踪为CVE-2022-33675，严重性评分为7.8。

正如BleepingComputer报道的那样，这些类型的漏洞是由操作系统在启动应用程序时搜索和加载DLL的文件夹的不安全权限引起的。

理论上，攻击者可以创建一个与AzureSiteRecovery应用程序运行的合法DLL同名的恶意DLL，并让应用程序运行它。

“DLL劫持是一种相当陈旧的技术，我们现在并不经常遇到。当我们这样做时，由于缺乏安全边界，影响通常非常有限，”Tenable在博客文章中解释道。

“然而，在这种情况下，我们能够跨越明确的安全边界，并展示了将用户升级到系统级别权限的能力，这表明由于增加了复杂性，即使过时的技术在云空间中寻找新家的趋势也在增长在这样的环境中。”

一旦攻击者在端点上获得提升的权限(在新标签中打开)，他们可以更改重要的操作系统设置，允许他们提取敏感文件、部署恶意软件和勒索软件，或监视用户。