Suivre

Quand vous installez une instance Linux dans le cloud Azure de Microsoft, Microsoft installe en plus un logiciel dans votre Linux.
C'est OMI (comme WMI, mais pour Linux. C'est pour administrer la machine).

Sauf que ça introduit une faille de sécurité. Et pas une petite:

Retirez juste l'entête "Auth" de vos requêtes HTTP et POUF! 💥 VOUS ÊTES ROOT.
(Ouais, c'est aussi moche que ça. Ouais on va bien se foutre de la geule de Microsoft sur ce coup là.)

twitter.com/amiluttwak/status/

@sebsauvage Je vois bien le bout de code "si y'a pas de user, le userid est 0 😅 "

@vincib @sebsauvage joli.

Microsoft don’t have an auto update mechanism, so now you need to manually upgrade the agents you didn’t know existed as you didn’t install them.

:-) c'est moche quand même !

C'est pas dans ce cloud que l'on a le controversé Health Data Hub ?
Parce que justement c'était "Sécurisé" ?
Hébergeur Données de Santé ?
--
@sebsauvage

@isserterrus
Si, mais peut-être qu'un système d'exploitation sûr est utilisé, genre... Windows Serveur ? :trollface:

@sebsauvage

@sebsauvage
Les 4 CVE peuvent se trouver en dehors d'Azure également. Il est recommandé de vérifier l'absence de OMI sur son serveur (même si on n'utilise pas le service cloud de #Microsoft).

#OMIGOD

Inscrivez-vous pour prendre part à la conversation
Framapiaf

Le réseau social de l'avenir : Pas d'annonces, pas de surveillance institutionnelle, conception éthique et décentralisation ! Possédez vos données avec Mastodon !