Apakah Microsoft Bing aman? Seseorang baru saja memanipulasi hasil pencarian
Apa ceritanya
Setelah menghabiskan bertahun-tahun dalam ketidakjelasan relatif, Microsoft Bing perlahan-lahan mendapatkan daya tarik di antara pengguna berkat versi bertenaga GPT-4.
Namun, peningkatan popularitas mesin pencari ini dapat terpotong oleh kerentanan yang ditemukan oleh Wiz Research dan Hillai Ben-Sasson.
Microsoft kemudian memperbaikinya, tetapi bug tersebut memiliki implikasi yang luas untuk Bing. Mari kita lihat apa yang terjadi.
_Card_
Mengapa artikel ini penting?
Masalah apa pun dalam penyedia identitas berbasis cloud berpotensi dimanfaatkan oleh pelaku ancaman untuk mengganggu bisnis. Dalam kasus Bing, kerentanannya berasal dari Azure Active Directory (AAD).
Jika bug pertama kali ditemukan oleh pelaku ancaman, semuanya akan menjadi buruk. Impian Bing untuk menjadi penantang yang tepat untuk Penelusuran Google mungkin juga tidak terwujud.
_Card_
25% aplikasi multi-penyewa rentan
Wiz Research menemukan kesalahan konfigurasi dan validasi di AAD. Opsi dalam 'Pendaftaran aplikasi' dapat membuat aplikasi multi-penyewa, memaparkan aplikasi ke semua pengguna. Ini berarti setiap pengguna Azure akan dapat masuk ke aplikasi.
Setelah penelitian lebih lanjut, Wiz Research menemukan bahwa 25% dari semua aplikasi multi-penyewa rentan terhadap masalah ini.
Domain yang menarik perhatian mereka adalah bingtrivia.azurewebsites.net.
_Card_
Wiz Research menemukan bagian penting di Bing Trivia
Wiz Research dapat masuk ke Bing Trivia, tetapi itu bukan milik penyewa Microsoft. Meskipun pada awalnya tampak seperti CMS (sistem manajemen konten) biasa-biasa saja, setelah analisis lebih lanjut, Wiz Research menemukan beberapa bagian yang terkait dengan konten inti Bing.
Salah satu bagian memiliki beberapa kata kunci dan hasil pencarian yang sesuai. Di sinilah cerita 'BingBang' dimulai.
_Card_
Peneliti dapat memanipulasi hasil pencarian Bing
Wiz Research dapat memanipulasi hasil pencarian di Bing dengan mengubah konten di carousel di CMS. Mereka mengubah item pertama dalam kueri "soundtrack terbaik" dari Dune menjadi Hackers.
Kemudian, mereka memeriksa XSS (skrip lintas situs) dengan muatan yang tidak berbahaya. Muatan berhasil dieksekusi.
Konten beranda Bing juga rentan untuk diubah.
_Card_
Pengguna Office 365 juga rentan terhadap serangan
Wiz Research juga menemukan bahwa pengguna Office 365 pun rentan. Bing diizinkan untuk mengeluarkan token Office untuk setiap pengguna yang masuk.
Para peneliti membuat muatan XSS melalui titik akhir yang digunakan untuk komunikasi Office 365. Mereka mengujinya sendiri dan berhasil.
Dengan token tersebut, pelaku ancaman dapat memperoleh antara lain email Outlook, pesan Teams, dan file OneDrive korban.
_Card_
Wiz Research menerima $40.000 sebagai hadiah bug
Wiz Research memberi tahu Microsoft Security Response Center (MSRC) tentang temuannya. Menurut Wiz Research, MSRC telah memperbaiki semua yang ditunjukkan oleh Wiz Research. Mereka diberi $40.000 oleh MSRC sebagai hadiah bug.
Indonesia Pos
Lihat bagaimana BingBang terbentuk
I hacked into a @Bing CMS that allowed me to alter search results and take over millions of @Office365 accounts.
— Hillai Ben-Sasson (@hillai) March 29, 2023
How did I do it? Well, it all started with a simple click in @Azure… 👀
This is the story of #BingBang 🧵⬇️ pic.twitter.com/9pydWvHhJs