Forscher fanden Sicherheitslücken in Bing, die es Hackern ermöglicht hätten, Suchergebnisse zu ändern

Bing von Microsoft hat in den letzten Monaten dank der Einführung von Bing Chat viel mehr Aufmerksamkeit erregt als in den meisten Jahren der Lebensdauer der Suchmaschine . Vor der Enthüllung des Chatbots fand ein Sicherheitsforschungsunternehmen namens Wiz jedoch eine große Sicherheitslücke in Bing, die es Hackern ermöglicht hätte, an persönliche Informationen zu gelangen und sogar Suchergebnisse zu ändern.

Hillai Ben-Sasson von Wiz hat diese Woche einen Twitter-Thread mit den Ergebnissen des Teams gepostet, wie das Wall Street Journal berichtet . Es begann im Januar, als Wiz eine „seltsame Konfiguration in Azure“ fand. Ben-Sasson konnte diese Konfiguration ausnutzen, um in Microsofts Bing Trivia-Feature zu gelangen. Er lernte jedoch bald, dass er diese Funktion nutzen konnte, um tatsächlich Änderungen an den Suchergebnissen von Bing vorzunehmen.

Der Fehler ermöglichte es Wiz auch, „Office-Token für jeden angemeldeten Benutzer auszustellen“, was bedeutet, dass Hacker diesen Exploit hätten nutzen können, um persönliche Informationen von Bing-Benutzern zu erhalten, einschließlich Outlook-E-Mails, Team-Chats und mehr. Wie Ami Luttwak, Chief Technology Officer von Wiz, dem Wall Street Journal sagte: „Es könnte ein Nationalstaat gewesen sein, der versucht, die öffentliche Meinung zu beeinflussen, oder ein finanziell motivierter Hacker.“

Die gute Nachricht ist, dass Microsoft die Probleme, die Wiz in Azure und Bing gemeldet hat, jetzt behoben hat. In einem eigenen Blogbeitrag zu diesem Thema heißt es:

Azure AD wurde aktualisiert, um die Ausgabe von Zugriffstoken an Clients zu beenden, die nicht in den Ressourcenmandanten registriert sind. Dadurch wird verhindert, dass dieses Problem auftritt, selbst wenn eine Anwendung die Berechtigungsprüfung nicht korrekt verarbeitet.

Darüber hinaus erklärte Ben-Sasson auf Twitter , dass Microsoft Wiz eine Prämie von 40.000 US-Dollar für die Entdeckung und Meldung der Fehler gewährt habe