Скоро уже будут сниться

На этот раз ошибочная публикация и неверная конфигурация токена подписи общего доступа (SAS) привела к утечке 38 ТБ чувствительных данных Microsoft, включая резервные копии компьютеров 2 сотрудников компании, хранящие пароли, секретные ключи и более 30 тыс. внутренних сообщений Microsoft Teams от 359 сотрудников Microsoft.

Ошибка обнаружилась в GitHub репозитории с обучающими данными исследовательского отдела Microsoft AI и представляла собой криво сконфигурированный SAS-токен. Некорректная конфигурация прав доступа внутри токена позволяла, зная только URL, получить расширенные права на просмотр и редактирование рабочего облачного хранилища внутренних данных на их собственной платформе Azure.

Более того, выяснилось, что проблеме уже более 3 лет, а лайфтайм SAS-токена вообще прописан аж до 2051 года.

Microsoft уже устранила проблему, но, кажется, устранить свою безграмотность в кибербезопасности им уже не суждено никогда.

НеКасперский