微软披露Azure中的严重漏洞，可用来执行跨站脚本攻击

据The 微软Hacker News 6月14日消息，微软 Azure Bastion 和 Azure Container Registry 披露了两个严重的披露安全漏洞，这些漏洞可能被利用来执行跨站脚本攻击 (XSS) 。中重漏站脚

Orca 安全研究员 Lidor Ben Shitrit 在一份报告中表示，严洞这些漏洞允许在受感染的用执 Azure 服务 iframe 中未经授权访问受害者的会话，从而导致未经授权的行跨数据访问 、建站模板未经授权的本攻修改以及 Azure 服务 iframe 的中断。

XSS攻击发生在攻击者将任意代码注入原本可信任的微软网站时  ，每次当毫无戒心的披露用户访问该网站，该代码就会被执行 。中重漏站脚

Orca 发现的源码库严洞两个缺陷利用了 postMessage iframe 中的一个漏洞，从而实现 Window 对象之间的用执跨域通信 。这意味着该漏洞可能会被滥用，行跨以使用 iframe 标签将端点嵌入远程服务器，本攻并最终执行恶意 JavaScript 代码，微软从而导致敏感数据遭到破坏 。

为了利用这些弱点
，高防服务器攻击者必须对不同的 Azure 服务进行侦察
，以找出易受攻击的端点 ，这些端点可能缺少 X-Frame-Options 标头
，或者是内容安全策略 ( CSP )薄弱
。

“一旦攻击者成功地将 iframe 嵌入远程服务器 ，他们就会继续利用配置错误的模板下载端点，”Ben Shitrit 解释道。“他们专注于处理 postMessages 等远程事件的 postMessage 处理程序 。”

因此，当受害者被引诱访问受感染的端点时
，恶意的 postMessage 有效载荷被传送到嵌入式 iframe 
，源码下载触发 XSS 漏洞并在受害者的上下文中执行攻击者的代码 。

在 Orca 演示的概念验证 (PoC) 中发现，特制的 postMessage 能够操纵 Azure Bastion Topology View SVG 导出器或 Azure Container Registry Quick Start 来执行 XSS 负载 。在于 2023 年 4 月 13 日和 5 月 3 日披露这些漏洞之后 ，微软已推出了安全修复程序来修复这些漏洞。免费模板