L'azienda di sicurezza informatica Wiz ha scoperto che la divisione di ricerca Microsoft AI ha accidentalmente rilasciato 38 TB di dati sensibili mentre pubblicava un bucket di dati di addestramento open source su GitHub.
I dati esposti includevano un backup su disco di due workstation de dipendenti contenenti segreti, chiavi private, password e oltre 30.000 messaggi interni di Microsoft Teams.
"
I ricercatori hanno condiviso i loro file utilizzando una funzione Azure chiamata token SAS, che consente di condividere dati da account di archiviazione Azure", recita il rapporto pubblicato da Wiz. "Il livello di accesso può essere limitato solo a file specifici; tuttavia, in questo caso, il collegamento è stato configurato per condividere l'intero account di archiviazione, compresi altri 38 TB di file privati."Il team di ricerca di Wiz ha scoperto il repository durante la scansione di Internet alla ricerca di contenitori di archiviazione mal configurati che espongono dati ospitati nel cloud. Gli esperti hanno trovato un repository su GitHub nell'organizzazione Microsoft chiamato robust-models-transfer.
Il repository appartiene alla divisione di ricerca Microsoft AI, che lo ha utilizzato per fornire codice open source e modelli di intelligenza artificiale per il riconoscimento delle immagini. Il team di ricerca Microsoft AI ha iniziato a pubblicare dati nel luglio 2020.
Microsoft ha utilizzato token SAS Azure per condividere dati memorizzati in account di archiviazione Azure utilizzati dal suo team di ricerca.
L'URL firmato di Azure Storage utilizzato per accedere al repository è stato erroneamente configurato per concedere autorizzazioni sull'intero account di archiviazione, esponendo dati privati.
"
Tuttavia, questo URL consentiva l'accesso a molto più che modelli open source. È stato configurato per concedere autorizzazioni sull'intero account di archiviazione, esponendo per errore dati privati aggiuntivi", continua l'azienda. "Il semplice passo di condivisione di un set di dati di intelligenza artificiale ha portato a una grave perdita di dati, contenente oltre 38 TB di dati privati. La causa principale è stata l'uso di token SAS dell'account come meccanismo di condivisione. A causa della mancanza di monitoraggio e governance, i token SAS rappresentano un rischio per la sicurezza e il loro utilizzo dovrebbe essere il più limitato possibile."Wiz ha sottolineato che i token SAS non possono essere facilmente tracciati perché Microsoft non fornisce un modo centralizzato per gestirli all'interno del portale Azure.
Microsoft ha dichiarato che la fuga di dati non ha esposto dati dei clienti.
"Nessun dato dei clienti è stato esposto e nessun altro servizio interno è stato messo a rischio a causa di questo problema. Non è richiesta alcuna azione da parte del cliente in risposta a questo problema", si legge nel post pubblicato da Microsoft.