四种不同的Microsoft Azure服务被发现容易受到服务器端请求伪造 (SSRF) 攻击，这些攻击可能被利用来获得对云资源的未授权访问。

这些安全问题是Orca在2022年10月8日至2022年12月2日期间在Azure API管理、Azure函数、Azure机器学习和Azure数字孪生中发现的，此后微软已经解决了这些问题。

披露报告中提到，发现的Azure SSRF漏洞允许攻击者扫描本地端口，查找新服务、端点和敏感文件——提供有关可能易受攻击的服务器和服务的有价值信息，以利用初始入口和目标敏感信息的位置。此外，影响Azure Functions和Azure Digital Twins的两个漏洞可以在不需要任何身份验证的情况下被滥用，使威胁行为者能够在没有Azure帐户的情况下夺取服务器的控制权。

SSRF 攻击可能会产生严重后果，因为它们使恶意闯入者能够读取或更新内部资源，更糟糕的是，它会转向网络的其他部分，破坏其他无法访问的系统以提取有价值的数据。

其中三个漏洞的严重程度被评为重要，而影响 Azure 机器学习的 SSRF 漏洞的严重程度被评为低。可以利用所有弱点来操纵服务器以对易受攻击的目标发起进一步的攻击。[阅读原文]