SentinelLabs: Lekken in Microsoft Azure Defender voor IoT

SentinelLabs waarschuwt voor een aantal kritieke kwetsbaarheden in Microsoft Azure's Defender voor IoT. Deze kwetsbaarheden kunnen gevolgen hebben voor cloud- en on-premises klanten. Ongeauthenticeerde aanvallers kunnen apparaten die door Microsoft Azure Defender for IoT worden beschermd op afstand in gevaar brengen, door misbruik te maken van het herstelmechanisme voor wachtwoorden van Azure. Microsoft heeft beveiligingsupdates uitgebracht om deze kritieke kwetsbaarheden te verhelpen. SentinelLabs meldt op dit moment geen aanwijzingen te hebben voor misbruik dat de kwetsbaarheden actief worden misbruikt door cybercriminelen.

Microsoft Defender for IoT is een agentless network-layer beveiliging voor constante IoT/OT asset discovery, vulnerability management en threat detection, waarvoor geen wijzigingen in bestaande omgevingen nodig zijn. Het kan in volledig on-premises of in Azure-gekoppelde omgevingen worden ingezet. Dit soort operationele technologienetwerken (OT) sturen veel van de meest belangrijke aspecten van onze samenleving aan.

Niet ontworpen met beveiliging in gedachten

Veel van deze technologieën zijn echter niet altijd ontworpen met beveiliging in gedachten en kunnen niet worden beschermd met traditionele IT-beveiligingscontroles. Ondertussen maakt het Internet of Things (IoT) nieuwe manieren van innovatie mogelijk met miljarden aangesloten apparaten, waardoor het aanvalsoppervlak en de risico's verder toenemen. Dit probleem is niet onopgemerkt gebleven bij leveranciers, dus velen bieden beveiligingsoplossingen aan in een poging het probleem aan te pakken. Maar wat als de beveiligingsoplossing zelf kwetsbaarheden introduceert?

SentinelLabs heeft de bevindingen in juni 2021 bekendgemaakt aan de MSRC. Microsoft heeft in december 2021 een beveiligingsadvies uitgebracht met patchgegevens, die hier, hier, hier, hier en hier te vinden zijn. Gebruikers worden aangemoedigd om onmiddellijk actie te ondernemen. Hoewel SentinelLabs geen bewijs heeft van misbruik ‘in-the-wild’ van deze kwetsbaarheden, raadt het bedrijf aan om alle privileged inloggegevens die op het platform zijn gebruikt in te trekken voordat de cloudplatforms zijn gepatcht. Ook zullen toegangslogbestanden gecontroleerd moeten worden op onregelmatigheden. Een geslaagde aanval kan namelijk leiden tot volledige compromittering van het netwerk, aangezien Azure Defender For IoT is geconfigureerd om een TAP (Terminal Access Point) op het netwerkverkeer te hebben. Toegang tot gevoelige informatie op het netwerk zou een aantal geraffineerde aanvalsscenario's kunnen openen die moeilijk of niet te detecteren zijn.

De technische details van de kwetsbaarheden zijn hier beschikbaar.