研究人員說，微軟Azure應用服務有一個已經存在了四年的漏洞，該漏洞可能會暴露用PHP、Python、Ruby或Node編寫的網絡應用程序的源代碼，這些應用都是在本地使用Git部署的。

根據Wiz的分析，該漏洞幾乎可以肯定已經作為零日漏洞被在野利用了。該公司將該漏洞稱為 "NotLegit"，并表示它自2017年9月以來就一直存在。

Azure應用服務(又稱Azure Web Apps)是一個基于云計算的平臺，主要用于托管網站和網絡應用程序。同時，本地Git允許開發人員在Azure應用服務容器內啟動本地的Git倉庫，以便于將代碼直接部署到服務器上。部署后，互聯網上的任何人都可以在*.azurewebsites.net域名下訪問該應用程序。

這個漏洞出現的原因是因為當使用本地Git時，Git文件夾也會被上傳并在未打補丁的系統上公開訪問;它會被放置在"/home/site/wwwroot "目錄中，任何人都可以進行訪問。

據該公司稱，從安全角度來看，這有很嚴重的問題。

研究人員在本周的一篇文章中指出："除了源代碼可能包含密碼和訪問令牌等信息外，泄露的源代碼往往會被用于進一步的復雜攻擊，如用來收集研發部門的情報，研究內部基礎設施，以及尋找軟件漏洞。當源代碼可用時，尋找軟件的漏洞就要容易得多了"。

他們補充說，基本上，一個惡意攻擊者所要做的就是從目標應用程序中獲取'/.git'目錄，并檢索其中的源代碼。

拙劣的緩解措施

微軟最初確實公布了一個用于緩解該漏洞的方法，其方法是在公共目錄下的Git文件夾中添加一個"web.config "文件，限制公眾的訪問。但事實證明這個修復措施并不是一個很好的方法。

只有微軟的IIS網絡服務器會處理web.config文件，但是[如果]你使用了PHP、Ruby、Python或Node......這些編程語言會被部署在不同的webservers(Apache、Nginx、Flask等)內，它們并不會處理web.config文件，這也就使得緩解措施對他們沒有任何效果，因此非常容易受到攻擊。

Wiz在10月份向微軟報告了這個長期以來一直存在的漏洞，并因這一發現獲得了7500美元的賞金;而該巨頭在12月7日至15日之間通過電子郵件向受影響的用戶部署了修復措施。

可能已經被在野利用

研究人員警告說，Git文件夾經常由于工作人員錯誤的配置(不僅僅是漏洞，如本案例)而被暴露在網絡上。因此，網絡犯罪分子正在積極尋找它們。

他們說："Git文件夾的暴露是一個很常見的安全漏洞，用戶甚至都沒有意識到這一點。惡意攻擊者正在不斷掃描互聯網，尋找暴露的Git文件夾，他們可以從中收集組織的秘密和其他信息。"

Wiz部署了一個有漏洞的Azure服務應用程序，并將其鏈接到了一個未使用的域，看看是否會有任何攻擊人員對其進行利用。

他們說："我們一直耐心地等待，看是否會有人試圖訪問Git文件。"在部署后的四天內，我們毫不驚訝地看到了來自未知攻擊者對Git文件夾的多個請求....，這種利用方法非常容易而且普遍，現在正在被犯罪分子大量的利用。"

據Wiz稱，以下用戶應及時評估潛在的風險，確保并更新他們的系統。

1、通過FTP或Web Deploy或Bash/SSH部署代碼的用戶，這會導致文件在任何git部署之前Web應用中就會被初始化。

2、在網絡應用中啟用LocalGit的用戶。

3、用Git克隆/推送序列發布更新的用戶。

研究人員指出："由于安全問題是發生在Azure服務中，大量的云端用戶受到了影響，而且他們也不知道或沒有受到任何的保護。

本文翻譯自：https://threatpost.com/microsoft-azure-zero-day-source-code/177270/如若轉載，請注明原文地址。