Wiz 研究团队在 Azure 应用服务中检测到一个不安全的默认行为，该行为暴露了使用“Local Git”部署的用 PHP、Python、Ruby 或 Node 编写的客户应用程序的源代码。Wiz 团队将该漏洞命名为“NotLegit”，并指出这一漏洞自 2017 年 9 月以来就一直存在，很可能已经被利用。
根据介绍，Azure App Service(也称为 Azure Web Apps)，是一个基于云计算的平台，用于托管网站和 Web 应用程序。有多种方法可以将源代码和工件部署到 Azure App Service，Local Git 就是其中之一。用户通过 Azure App Service 容器启动 Local Git 仓库，并将代码直接推送到服务器上。
问题在于，在使用 Local Git 部署方法部署到 Azure App Service 时，git 存储库是在任何人都可以直接访问的目录 (/home/site/wwwroot) 中创建的;Wiz 将此举称为微软的一个“怪癖”。而为了保护用户的文件，微软会在公共目录内的 .git 文件夹中添加了一个"web.config"文件，以限制公共访问。但是，只有微软的 iis 网络服务器可以处理"web.config"文件。因此对于同样使用 IIS 部署的 C# 或 ASP.NET 应用程序，此缓解措施是有效的。
但对 PHP、Node、Ruby 和 Python 这些部署在不同 Web 服务器(Apache、Nginx、Flask 等)中的应用而言，这一缓解措施就会无效，从而导致容易受到攻击。“基本上，攻击者所要做的就是从目标应用程序中获取"/.git"目录，并检索其源代码。”
影响范围包括：
对此，Microsoft 安全响应中心在一份公告中回应称，Wiz 报告的这一问题导致客户可能会无意中配置要在内容根目录中创建的 .git 文件夹，从而使他们面临信息泄露的风险。
“这与配置为提供静态内容的应用程序结合使用时，会使得其他人可以下载不打算公开的文件。我们已经通知了我们认为因此而面临风险的有限的一部分客户，我们将继续与我们的客户合作，确保他们的应用程序的安全。”
Customer Impact：
不过，并非所有 Local Git 用户都受到了影响。在应用程序中创建文件后，通过 Local Git 将代码部署到 App Service linux 的用户是唯一受影响人群。且 Azure App Service windows 不受影响，因为它在基于 IIS 的环境中运行。
微软为此采取的具体解决措施为：
由于报告了这一漏洞，Wiz 方面还获得了来自微软的 7500 美元赏金，但该公司计划将这笔资金捐献出去。
发表评论