FEB 04, 2025ravie Lakshmananvulnerability / SharePoint Watafiti wamefunua maelezo ya udhabiti uliowekwa sasa unaoathiri kiunganishi cha Microsoft SharePoint kwenye jukwaa la nguvu ambalo, ikiwa limetekelezwa kwa mafanikio, linaweza kuruhusu watendaji wa kuvuna sifa za mtumiaji na hatua za kufuata hatua, zinaweza kuruhusu watendaji wa kuvuna sifa za mtumiaji . Hii inaweza kudhihirika katika mfumo wa vitendo vya baada ya unyonyaji ambavyo vinamruhusu mshambuliaji kutuma maombi kwa API ya SharePoint kwa niaba ya mtumiaji aliyeiga, kuwezesha ufikiaji usioidhinishwa wa data nyeti, Zenity Labs alisema katika ripoti iliyoshirikiwa na Habari ya Hacker kabla ya kuchapishwa . “Udhaifu huu unaweza kutumiwa kwa nguvu ya umeme, programu za nguvu, studio ya Copilot, na Copilot 365, ambayo inapanua sana wigo wa uharibifu unaowezekana,” mtafiti mwandamizi wa usalama Dmitry Lozovoy alisema. “Inaongeza uwezekano wa shambulio lililofanikiwa, ikiruhusu watapeli kulenga huduma nyingi zilizounganishwa ndani ya mfumo wa jukwaa la nguvu.” Kufuatia kufichuliwa kwa uwajibikaji mnamo Septemba 2024, Microsoft ilishughulikia shimo la usalama, iliyopimwa na tathmini ya “muhimu”, mnamo Desemba 13. Jukwaa la Nguvu la Microsoft ni mkusanyiko wa zana za maendeleo ya chini ambazo huruhusu watumiaji kuwezesha uchambuzi, mitambo ya mchakato, na Maombi ya uzalishaji unaoendeshwa na data. Udhaifu, kwa msingi wake, ni mfano wa ombi la kughushi la seva (SSRF) kutoka kwa utumiaji wa utendaji wa “thamani ya kawaida” ndani ya kiunganishi cha SharePoint ambacho kinaruhusu mshambuliaji kuingiza URL zao kama sehemu ya mtiririko. Walakini, ili shambulio lifanikiwa, mtumiaji wa Rogue atahitaji kuwa na jukumu la mtengenezaji wa mazingira na jukumu la msingi la watumiaji katika jukwaa la nguvu. Hii pia inamaanisha kuwa watahitaji kwanza kupata ufikiaji wa shirika lengwa kupitia njia zingine na kupata majukumu haya. “Kwa jukumu la mtengenezaji wa mazingira, wanaweza kuunda na kushiriki rasilimali mbaya kama programu na mtiririko,” Zenity aliiambia Habari ya Hacker. “Jukumu la msingi la watumiaji linawaruhusu kuendesha programu na kuingiliana na rasilimali wanazomiliki kwenye jukwaa la nguvu. Ikiwa mshambuliaji hana majukumu haya tayari, wangehitaji kupata yao kwanza.” Katika hali ya shambulio la nadharia, muigizaji wa vitisho anaweza kuunda mtiririko wa hatua ya SharePoint na kuishiriki na mtumiaji aliye na upendeleo mdogo (soma mwathirika), na kusababisha kuvuja kwa ishara yao ya Upataji wa SharePoint JWT. Silaha na ishara hii iliyotekwa, mshambuliaji anaweza kutuma maombi nje ya jukwaa la nguvu kwa niaba ya mtumiaji ambaye ufikiaji ulipewa. Hiyo sio yote. Udhaifu huo unaweza kupanuliwa zaidi kwa huduma zingine kama programu za Power na Studio ya Copilot kwa kuunda programu inayoonekana kuwa nzuri au wakala wa Copilot kuvuna ishara ya mtumiaji, na kuongeza ufikiaji zaidi. “Unaweza kuchukua hii zaidi kwa kuingiza programu ya Canvas kwenye kituo cha timu, kwa mfano,” Zenity alisema. “Mara tu watumiaji wanapoingiliana na programu kwenye timu, unaweza kuvuna ishara zao kwa urahisi, kupanua ufikiaji wako katika shirika na kufanya shambulio hilo liweze kuenea zaidi.” “Kuchukua kuu ni kwamba hali iliyounganika ya huduma za jukwaa la nguvu inaweza kusababisha hatari kubwa ya usalama, haswa ikizingatiwa matumizi ya kiunganishi cha SharePoint, ambayo ndipo data nyingi nyeti za kampuni zinawekwa, na inaweza kuwa ngumu ili kuhakikisha kuwa sahihi Haki za ufikiaji zinatunzwa katika mazingira anuwai. ” Maendeleo yanakuja kama usalama wa binary ulielezea udhaifu wa tatu wa SSRF katika DevOps za Azure ambazo zingeweza kudhulumiwa kuwasiliana na mwisho wa API ya Metadata, na hivyo kumruhusu mshambuliaji kupata habari juu ya usanidi wa mashine hiyo. Je! Nakala hii inavutia? Tufuate kwenye Twitter  na LinkedIn kusoma yaliyomo kipekee tunayotuma.