セキュリティ研究者の Benjamin Delpy は、ユーザーの Azure 資格情報がプレーン テキストで公開される可能性がある Windows 365 の脆弱性を発見しました。
Windows 365 は誕生して 2 週間も経っていませんが、研究者たちはすでにこのサービスのセキュリティ脆弱性を発見しています。 mimikatz プロジェクトの作成者である研究者の Benjamin Delpy は、Windows 365 の使用中にユーザーの Azure 資格情報がプレーン テキストで公開される可能性があることを発見しました。 この脆弱性を悪用するには管理者権限が必要ですが、依然として脅威の窓口です。
として ピーピーコンピュータ Delpy によると、このエクスプロイトは Microsoft リモート デスクトップ接続の脆弱性を利用して構築されます。 5月に初めて発見された. クラウド PC を作成すると、基本的にはクラウドにインストールされた仮想マシンとなり、リモート デスクトップ接続を通じてアクセスします。 この脆弱性により、ユーザーは mimikatz などのツールを使用してクライアントで使用されているリモート デスクトップの資格情報を公開することができました。
Windows 365 を使用したクラウド PC へのアクセスにもリモート デスクトップ プロトコルが使用されるため、この脆弱性はここでも同様に機能します。 Windows 365 は Azure に関連付けられているため、今回公開される資格情報は Azure アカウントのものです。 さらに、リモート デスクトップ プロトコルが使用されるため、Web ブラウザーを通じて Windows 365 クラウド PC にアクセスしている場合でも、これは機能します。
ただし、前述したように、これには PC へのアクセスと管理者権限も必要です。 しかし、システムにアクセスするために悪用される可能性のある脆弱性は他にもあります。 悪意のある電子メールの添付ファイルにより、攻撃者が PC にアクセスできるようになります。 その他の脆弱性 悪用されて管理者権限を取得する可能性があります。 問題は、ここで資格情報を取得することは、自分の PC にアクセスするだけではなく、潜在的に許可される可能性があるということです。 攻撃者が組織内の他の Microsoft サービスに広がり、最終的には会社全体の内部に影響を与える可能性があります。 通信網。 たとえそのうちの 1 人だけが最初の攻撃ウィンドウを開いたとしても、数百人のユーザーが危険にさらされる可能性があります。
通常、この種の脅威を回避する 1 つの方法は、従来のパスワードの代替を使用することです。 通常、Windows Hello または 2 要素認証でこれを防ぐことができますが、Windows 365 はこれらの機能をまだサポートしていません。 おそらく Microsoft は、クラウド PC でこれらの機能を有効にする方法に取り組んでいると思われますが、現時点では、Windows 365 を使用している場合は特に注意することが最善です。