Sikkerhetsforsker Benjamin Delpy har oppdaget en sårbarhet i Windows 365 som kan avsløre brukerens Azure-legitimasjon i ren tekst.
Windows 365 er mindre enn to uker gammelt, men forskere finner allerede sikkerhetssårbarheter i tjenesten. Forsker Benjamin Delpy, skaperen av mimikatz-prosjektet, har funnet ut at det er mulig å eksponere en brukers Azure-legitimasjon i ren tekst mens du bruker Windows 365. Sårbarheten krever administrative rettigheter for å utnytte, men det er fortsatt et trusselvindu.
Som BleepingComputer forklarer, bygger utnyttelsen av en sårbarhet i Microsoft Remote Desktop-tilkoblingen, som Delpy først oppdaget i mai. Når du oppretter en sky-PC, er det i hovedsak en virtuell maskin installert i skyen, og du får tilgang via en ekstern skrivebordstilkobling. Denne sårbarheten tillot brukere å avsløre Eksternt skrivebord-legitimasjonen som brukes på en klient ved å bruke et verktøy som mimikatz.
Tilgang til en sky-PC med Windows 365 bruker også Remote Desktop Protocol, så sårbarheten fungerer på samme måte her. Siden Windows 365 er knyttet til Azure, er legitimasjonen som vises denne gangen for Azure-kontoen din. I tillegg fungerer dette selv om du har tilgang til din Windows 365 sky-PC via nettleseren, fordi den fortsatt bruker Remote Desktop Protocol.
Som vi har nevnt, krever dette imidlertid også tilgang til PC-en og administrative rettigheter. Men det er andre sårbarheter som kan utnyttes for å få tilgang til et system. Et ondsinnet e-postvedlegg kan gi en angriper tilgang til PC-en din, og andre sårbarheter kan utnyttes for å få administrative rettigheter. Saken er at å skaffe legitimasjonen din her handler om mer enn å få tilgang til din egen PC, det kan potensielt tillate angripere å spre seg til andre Microsoft-tjenester i organisasjonen din, og til slutt påvirke hele selskapets interne Nettverk. Det kan potensielt avsløre hundrevis av brukere, selv om bare én av dem åpner det første angrepsvinduet.
Vanligvis er en måte å unngå denne typen trusler på å bruke alternativer til tradisjonelle passord. Windows Hello eller tofaktorautentisering kan vanligvis forhindre dette, men Windows 365 støtter ikke disse funksjonene ennå. Antagelig jobber Microsoft med en måte å aktivere disse funksjonene for sky-PCer, men foreløpig er det best å være ekstra forsiktig hvis du bruker Windows 365.