SentinelLabs, het onderzoeksteam van SentinelOne, heeft een aantal kritieke kwetsbaarheden ontdekt in Microsoft Azure’s Defender voor IoT. Deze kwetsbaarheden kunnen gevolgen hebben voor cloud- en on-premises klanten.
Ongeauthenticeerde aanvallers kunnen apparaten die door Microsoft Azure Defender for IoT worden beschermd op afstand in gevaar brengen, door misbruik te maken van herstelmechanisme voor wachtwoorden van Azure. Microsoft heeft beveiligingsupdates uitgebracht om deze kritieke kwetsbaarheden te verhelpen. SentinelLabs heeft op dit moment geen aanwijzingen gevonden voor misbruik ‘in-the-wild’.
Microsoft Azure Defender voor IoT
Microsoft Defender for IoT is een agentless network-layer beveiliging voor constante IoT/OT asset discovery, vulnerability management en threat detection, waarvoor geen wijzigingen in bestaande omgevingen nodig zijn. Het kan in volledig on-premises of in Azure-gekoppelde omgevingen worden ingezet. Dit soort operationele technologienetwerken (OT) sturen veel van de meest kritieke aspecten van onze samenleving aan.
Veel van deze technologieën zijn echter niet altijd ontworpen met beveiliging in gedachten en kunnen niet worden beschermd met traditionele IT-beveiligingscontroles. Ondertussen maakt het Internet of Things (IoT) een nieuwe golf van innovatie mogelijk met miljarden aangesloten apparaten, waardoor het aanvalsoppervlak en de risico’s verder toenemen. Dit probleem is niet onopgemerkt gebleven bij leveranciers, en velen bieden beveiligingsoplossingen aan in een poging het probleem aan te pakken. Maar wat als de beveiligingsoplossing zelf kwetsbaarheden introduceert?
Mitigatie
SentinelLabs heeft de bevindingen in juni 2021 bekendgemaakt aan de MSRC. Microsoft heeft in december 2021 een beveiligingsadvies uitgebracht met patchgegevens, die hier, hier, hier, hier en hier te vinden zijn. Gebruikers worden aangemoedigd om onmiddellijk actie te ondernemen. Hoewel SentinelLabs geen bewijs heeft van misbruik ‘in-the-wild’ van deze kwetsbaarheden, raadt het bedrijf aan om alle privileged inloggegevens die op het platform zijn gebruikt in te trekken voordat de cloudplatforms zijn gepatcht. Ook zullen toegangslogbestanden gecontroleerd moeten worden op onregelmatigheden. Een geslaagde aanval kan namelijk leiden tot volledige compromittering van het netwerk, aangezien Azure Defender For IoT is geconfigureerd om een TAP (Terminal Access Point) op het netwerkverkeer te hebben. Toegang tot gevoelige informatie op het netwerk zou een aantal geraffineerde aanvalsscenario’s kunnen openen die moeilijk of niet te detecteren zijn.
In deze blogpost zijn de technische details te vinden.
