IT之家5月17日消息，據(jù)科技媒體BleepingComputer昨天報道，一名安全研究員聲稱，微軟（MSFT）駁回漏洞報告后，悄悄修復(fù)Azure的Azure Kubernetes Service（SCI）(AKS)備份服務(wù)漏洞，同時還阻撓該漏洞獲得CVE編號。
安全研究員Justin O'Leary于今年3月發(fā)現(xiàn)這一漏洞，并在3月17日將相關(guān)報告提交給微軟（MSFT）。他指出，Azure Kubernetes Service（SCI）備份服務(wù)存在嚴(yán)重提權(quán)Bug，攻擊者只需要最低權(quán)限的備份貢獻(xiàn)者(Backup Contributor)角色，就能夠獲得Kubernetes集群管理員(cluster-admin)權(quán)限。
4 月13日，微軟（MSFT）安全響應(yīng)中心(IT之家注：MSRC)駁回該報告，聲稱該問題在攻擊者“擁有管理員權(quán)限”下生效，因此構(gòu)不成威脅。
而 Justin O'Leary認(rèn)為，微軟（MSFT）的說法存在事實性錯誤。他解釋稱：“該漏洞允許完全沒有Kubernetes權(quán)限的用戶直接獲得cluster-admin權(quán)限。攻擊過程中不需要現(xiàn)有集群權(quán)限，漏洞本身就能賦予這些權(quán)限”。
同時，微軟（MSFT）曾將他提交給MITRE的報告描述為“含有AI生成內(nèi)容”，完全沒有解答報告中的技術(shù)細(xì)節(jié)。
遭到微軟（MSFT）拒絕后，這名研究員將漏洞提交給美國CERT協(xié)調(diào)中心，該中心于4月16日獨立驗證了漏洞有效性，并分配VU#284781編號。
CERT最初計劃6月1日披露漏洞，但最終并未執(zhí)行。據(jù)悉，微軟（MSFT）5月4日聯(lián)系了MITRE，建議不要授予CVE編號，理由仍然是“攻擊需要預(yù)先存在管理員權(quán)限”。
隨后，基于CNA(CVE編號分配機構(gòu))層級規(guī)則，CERT關(guān)閉該案例。使得作為CNA成員的微軟（MSFT），對自己產(chǎn)品的CVE編號擁有最終決定權(quán)。
而微軟（MSFT）方面對此回應(yīng)道：“我們評估認(rèn)為這并非安全漏洞，而是依賴客戶環(huán)境中預(yù)先存在的管理員權(quán)限的預(yù)期行為。因此我們沒有進(jìn)行任何產(chǎn)品更改，也未分配CVE或CVSS編號”。
