Peneliti cybersecurity telah mengungkapkan rincian kerentanan yang sekarang ditonton yang berdampak pada konektor Microsoft SharePoint pada platform daya yang, jika berhasil dieksploitasi, dapat memungkinkan aktor ancaman untuk memanen kredensial pengguna dan serangan tindak lanjut panggung.
This could manifest in the form of post-exploitation actions that allow the attacker to send requests to the SharePoint API on behalf of the impersonated user, enabling unauthorized access to sensitive data, Zenity Labs said in a report shared with The Hacker News ahead of publication .
“Kerentanan ini dapat dieksploitasi di seluruh Otomatisasi Power, Aplikasi Daya, Studio Copilot, dan Copilot 365, yang secara signifikan memperluas ruang lingkup potensi kerusakan,” kata peneliti keamanan senior Dmitry Lozovoy.
“Ini meningkatkan kemungkinan serangan yang berhasil, memungkinkan peretas untuk menargetkan beberapa layanan yang saling berhubungan dalam ekosistem platform daya.”
Mengikuti pengungkapan yang bertanggung jawab pada bulan September 2024, Microsoft membahas lubang keamanan, dinilai dengan penilaian keparahan “penting”, pada 13 Desember.
Microsoft Power Platform adalah kumpulan alat pengembangan kode rendah yang memungkinkan pengguna untuk memfasilitasi analitik, otomatisasi proses, dan aplikasi produktivitas berbasis data.
Kerentanan, pada intinya, adalah contoh dari pemalsuan permintaan sisi server (SSRF) yang berasal dari penggunaan fungsionalitas “nilai kustom” dalam konektor SharePoint yang memungkinkan penyerang untuk memasukkan URL mereka sendiri sebagai bagian dari aliran.
Namun, agar serangan menjadi sukses, pengguna nakal perlu memiliki peran pembuat lingkungan dan peran pengguna dasar dalam platform daya. Ini juga berarti bahwa mereka harus terlebih dahulu mendapatkan akses ke organisasi target melalui cara lain dan memperoleh peran ini.
“Dengan peran pembuat lingkungan, mereka dapat membuat dan berbagi sumber daya berbahaya seperti aplikasi dan aliran,” kata Zenity kepada Hacker News. “Peran pengguna dasar memungkinkan mereka untuk menjalankan aplikasi dan berinteraksi dengan sumber daya yang mereka miliki di platform daya. Jika penyerang belum memiliki peran ini, mereka perlu mendapatkannya terlebih dahulu.”
Dalam skenario serangan hipotetis, seorang aktor ancaman dapat membuat aliran untuk tindakan SharePoint dan membaginya dengan pengguna priviled rendah (Baca Korban), menghasilkan kebocoran token akses JWT SharePoint mereka.
Berbekal token yang ditangkap ini, penyerang dapat mengirim permintaan di luar platform daya atas nama pengguna kepada siapa akses diberikan.
Bukan itu saja. Kerentanan dapat diperluas lebih jauh ke layanan lain seperti aplikasi listrik dan studio kopilot dengan membuat aplikasi kanvas yang tampaknya jinak atau agen kopilot untuk memanen token pengguna, dan meningkatkan akses lebih lanjut.
“Anda dapat mengambil ini lebih jauh dengan menanamkan aplikasi Canvas ke saluran tim, misalnya,” kata Zenity. “Begitu pengguna berinteraksi dengan aplikasi dalam tim, Anda dapat memanen token mereka dengan mudah, memperluas jangkauan Anda di seluruh organisasi dan membuat serangan itu semakin meluas.”
“Takeaway utama adalah bahwa sifat yang saling berhubungan dari layanan platform daya dapat mengakibatkan risiko keamanan yang serius, terutama mengingat penggunaan konektor SharePoint yang meluas, di mana banyak data perusahaan yang sensitif ditempatkan, dan dapat rumit untuk memastikan yang tepat Hak akses dipertahankan di berbagai lingkungan. “
Pengembangan datang ketika keamanan biner merinci tiga kerentanan SSRF di Azure DevOps yang bisa disalahgunakan untuk berkomunikasi dengan titik akhir API metadata, sehingga memungkinkan penyerang untuk mendapatkan informasi tentang konfigurasi mesin.
