Các lỗ hổng bảo mật nghiêm trọng đã được vá trong Microsoft Dynamics 365 và Power Apps Web API
Đã xuất hiện thông tin chi tiết về ba lỗ hổng bảo mật hiện đã được vá trong Dynamics 365 và Power Apps Web API có thể dẫn đến rò rỉ dữ liệu.
Các lỗ hổng được công ty an ninh mạng Stratus Security có trụ sở tại Melbourne phát hiện và đã được khắc phục vào tháng 5 năm 2024. Hai trong số ba lỗ hổng nằm trong Bộ lọc API web OData của Power Platform , trong khi lỗ hổng thứ ba bắt nguồn từ API FetchXML .
Nguyên nhân gốc rễ của lỗ hổng đầu tiên là do thiếu kiểm soát quyền truy cập vào Bộ lọc API Web OData, do đó cho phép truy cập vào bảng danh bạ chứa thông tin nhạy cảm như họ tên, số điện thoại, địa chỉ, dữ liệu tài chính và hàm băm mật khẩu.
Sau đó, kẻ tấn công có thể lợi dụng lỗ hổng này để thực hiện tìm kiếm dựa trên boolean nhằm trích xuất toàn bộ hàm băm bằng cách đoán từng ký tự của hàm băm theo trình tự cho đến khi xác định được giá trị chính xác.
Stratus Security cho biết: "Ví dụ, chúng tôi bắt đầu bằng cách gửi startswith(adx\_identity\_passwordhash, 'a') rồi startswith( adx\_identity\_passwordhash , 'aa') rồi startswith(adx\_identity\_passwordhash , 'ab') và cứ tiếp tục như vậy cho đến khi trả về kết quả bắt đầu bằng ab".
"Chúng tôi tiếp tục quá trình này cho đến khi truy vấn trả về kết quả bắt đầu bằng 'ab'. Cuối cùng, khi không còn ký tự nào trả về kết quả hợp lệ nữa, chúng tôi biết mình đã có được giá trị đầy đủ."
Mặt khác, lỗ hổng thứ hai nằm ở việc sử dụng mệnh đề orderby trong cùng một API để lấy dữ liệu từ cột bảng cơ sở dữ liệu cần thiết (ví dụ: EMailAddress1 , tham chiếu đến địa chỉ email chính của người liên hệ).
Cuối cùng, Stratus Security cũng phát hiện ra rằng API FetchXML có thể được khai thác kết hợp với bảng danh bạ để truy cập vào các cột bị hạn chế bằng cách sử dụng truy vấn orderby.
"Khi sử dụng API FetchXML, kẻ tấn công có thể tạo truy vấn orderby trên bất kỳ cột nào, hoàn toàn bỏ qua các biện pháp kiểm soát truy cập hiện có", báo cáo cho biết. "Không giống như các lỗ hổng trước đây, phương pháp này không yêu cầu orderby phải theo thứ tự giảm dần, giúp tăng thêm tính linh hoạt cho cuộc tấn công".
Do đó, kẻ tấn công lợi dụng những lỗ hổng này có thể biên soạn danh sách các mã băm mật khẩu và email, sau đó bẻ khóa mật khẩu hoặc bán dữ liệu.
Stratus Security cho biết: "Việc phát hiện ra lỗ hổng bảo mật trong Dynamics 365 và Power Apps API nhấn mạnh một lời nhắc nhở quan trọng: an ninh mạng đòi hỏi phải luôn cảnh giác, đặc biệt là đối với các công ty lớn nắm giữ nhiều dữ liệu như Microsoft".