Microsoft, şirketin iç dosyaları ve kimlik bilgilerini açık internette ifşa eden bir güvenlik açığını çözdü. SOCRadar adlı bir siber güvenlik şirketi, Microsoft’un Bing arama motoruna ilişkin iç bilgileri barındıran açık ve halka açık bir depolama sunucusunun varlığını keşfetti. Bu sunucu, Microsoft çalışanlarının diğer iç veritabanlarına ve sistemlerine erişim için kullandıkları şifreleri, anahtarları ve kimlik bilgilerini içeren kodları, betikleri ve yapılandırma dosyalarını barındırıyordu.
Fakat depolama sunucusu şifre ile korunmuyordu ve internet üzerinden herkes tarafından erişilebilirdi. Güvenlik araştırmacıları Can Yoleri, Murat Özfidan ve Egemen Koçhisarlı tarafından keşfedilen bu açık, kötü niyetli aktörlerin Microsoft’un iç dosyalarını nerede sakladığını tanımlamasına ve bu yerlere erişim sağlamasına yardımcı olabilir. Bu durum, daha ciddi veri sızıntılarına ve kullanımdaki hizmetlerin tehlikeye girmesine yol açabilir.
Araştırmacılar, güvenlik açığını 6 Şubat’ta Microsoft’a bildirdi ve Microsoft, sızan dosyaları 5 Mart’ta güvence altına aldı. Bulut sunucusunun internette ne kadar süreyle açık kaldığı veya SOCRadar dışında başka birinin açık verileri keşfedip keşfetmediği bilinmiyor. Microsoft, açığa çıkan iç kimlik bilgilerini sıfırlayıp değiştirdiğini belirtmedi.
Bu, Microsoft’un son yıllarda bir dizi bulut güvenlik olayının ardından müşterileriyle olan güveni yeniden inşa etmeye çalıştığı sırada yaşanan son güvenlik hatasıdır. Geçen yıl benzer bir güvenlik açığında, araştırmacılar Microsoft çalışanlarının GitHub’a yayınladıkları kodda kendi kurumsal ağ giriş bilgilerini açığa çıkardığını bulmuştu.
Microsoft güvenlik zafiyeti hacker’ların yolunu açtı!
Microsoft, geçen yıl Çin destekli hacker’ların, ABD hükümetinin üst düzey yetkililerinin Microsoft barındırılan gelen kutularına geniş erişim sağlamasına izin veren bir iç e-posta imza anahtarını nasıl çaldığını bilmediğini kabul ettikten sonra eleştirilerin hedefi oldu. E-posta ihlalini araştırmakla görevlendirilen bağımsız bir siber uzmanlar kurulu, geçen hafta yayımlanan raporlarında, hacker’ların başarısının “Microsoft’ta bir dizi güvenlik başarısızlığından” kaynaklandığını yazdı.
Mart ayında Microsoft, Rusya devlet destekli hacker’ların şirketin kaynak kodunun bir kısmını ve Microsoft kurumsal yöneticilerine ait iç e-postaları çaldığı devam eden bir siber saldırıya karşı mücadele ettiğini söyledi.
