细节方面,微软的 AI 研究团队在 GitHub 上发布了开源训练数据,但是一同意外暴露了 38TB 的其他内部数据,包括微软几名员工个人 PC 的磁盘备份。而在这个磁盘备份中,又包含了机密、私人密钥、密码和数百名 Microsoft 员工超过 30000 条 Microsoft Teams 内部消息。
该 GitHub 存储库提供了用于图像识别的开源代码和 AI 模型,访问者被要求从 Azure 存储 URL 下载模型。然而,Wiz 发现该 URL 被配置为授予整个存储账户的权限,从而错误地暴露了其他私人数据。
据称,涉事 URL 自 2020 年起就暴露了这些数据,该 URL 也被错误配置为允许“完全控制”而不是“只读”权限,这意味着任何知道在哪里查看的人都可能删除、替换和注入恶意内容进入其中。
Wiz 表示它已经于 6 月 22 日向微软报告了这一问题,两天后的 6 月 24 日,微软宣布撤销 SAS 令牌。微软表示,它于 8 月 16 日完成了对潜在组织影响的调查。
整个事件的具体时间线如下:
2020 年 7 月 20 日- SAS 令牌首次提交到 GitHub;到期日定为 2021 年 10 月 5 日
2021 年 10 月 6 日- SAS 令牌到期日更新为 2051 年 10 月 6 日
2023 年 6 月 22 日- Wiz Research 发现问题并向微软报告
2023 年 6 月 24 日- 微软宣布 SAS 令牌失效
2023 年 7 月 7 日- SAS 令牌在 GitHub 上被替换
2023 年 8 月 16 日- 微软完成对潜在影响的内部调查
2023 年 9 月 18 日- Wiz Research 公开披露此事
参考
相关教程
2023-11-10
2024-05-08
2024-04-12
2024-09-12
2024-04-15
2024-05-20
2024-05-08
2024-03-19
2024-05-13
2024-05-28
2024-11-03
2024-11-03
2024-11-03
2024-11-02
2024-11-02
2024-11-01
Copyright © 2009-2024 飞沙系统网 www.fs0745.com 版权声明