بررسی آسیب‌ پذیری Microsoft SharePoint connector در Power Platform

محققان امنیتی جزئیاتی را در مورد یک آسیب ‌پذیری پچ شده که بر Microsoft SharePoint connector در Power Platform تأثیر می‌گذارد، فاش کرده‌اند. مهاجمان در صورت اکسپلویت موفق این آسیب ‌پذیری، ممکن است بتوانند داده‌های لاگین و احراز هویت کاربران را استخراج و حملات بعدی را برنامه‌ریزی کنند.

Microsoft SharePoint Connector؛ ابزاری است که برای یکپارچه‌سازی و ارتباط میان SharePoint (پلتفرم مدیریت محتوا و همکاری مایکروسافت) و سایر سیستم‌ها یا برنامه‌ها استفاده می‌شود. این کانکتور معمولاً برای اتصال Power Automate، Power Apps و سایر سرویس‌های مایکروسافت به SharePoint به‌کار می‌رود.

کاربران با استفاده از این کانکتور، می‌توانند جریان‌های کاری (workflows) خودکار ایجاد کنند، داده‌ها را از SharePoint به دیگر پلتفرم‌ها منتقل نمایند و یا به‌طور یکپارچه با اسناد و اطلاعات موجود در SharePoint در برنامه‌های دیگر کار کنند.

لازم به ذکر است که مایکروسافت این آسیب ‌پذیری را پس از افشا در سپتامبر 2024، در تاریخ 13 دسامبر پچ کرده است.

این آسیب ‌پذیری می‌توانست به مهاجم این امکان را بدهد که درخواست‌هایی را به API سرویس SharePoint به نام کاربر جعل‌شده ارسال کند و به این ترتیب دسترسی غیرمجاز به داده‌های حساس را فراهم آورد.

این آسیب ‌پذیری می‌توانست در Power Automate، Power Apps، Copilot Studio و Copilot 365  مورد سوءاستفاده قرار گیرد و دامنه آسیب‌های احتمالی را به‌طور قابل توجهی گسترش ‌دهد.

این آسیب ‌پذیری احتمال موفقیت حمله را افزایش می‌دهد و به هکرها این امکان را می‌دهد که چندین سرویس مرتبط در اکوسیستم Power Platform را مورد هدف قرار دهند.

این آسیب‌ پذیری در اصل یک نمونه SSRF است که ناشی از استفاده از قابلیت “مقدار سفارشی” در کانکتور SharePoint  می‌باشد که به مهاجم این امکان را می‌دهد که URL‌های خود را به‌عنوان بخشی از یک جریان وارد کند.

با این حال، مهاجم برای داشتن یک حمله موفق نیاز به نقش Environment Maker و Basic User  در Power Platform دارد. این بدان معناست که هکر ابتدا باید از راه‌های دیگر به سازمان هدف دسترسی پیدا کند و این نقش‌ها را به‌دست آورد.

مهاجم با نقش Environment Maker، می‌توانند منابع مخرب مانند اپلیکیشن‌ها و جریان‌ها را ایجاد کرده و به اشتراک بگذارد. نقش Basic User  نیز به آن‌ها این امکان را می‌دهد که اپلیکیشن‌ها را اجرا کرده و با منابعی که خودشان در Power Platform  دارند، تعامل کنند. اگر مهاجم این نقش‌ها را نداشته باشد، ابتدا باید آن‌ها را به‌دست آورد.

در یک سناریوی حمله فرضی، مهاجم می‌تواند یک جریان برای انجام عملیاتی در SharePoint ایجاد کرده و آن را با یک کاربر با سطح دسترسی پایین (که به‌عنوان قربانی شناخته می‌شود) به اشتراک بگذارد. این اقدام می‌تواند منجر به افشای توکن JWT access  مربوط به SharePoint کاربر قربانی شود.

مهاجم می‌تواند با در اختیار داشتن این توکن که به‌طور غیرمجاز به‌دست آمده است، درخواست‌هایی را خارج از Power Platform به‌نمایندگی از کاربری که به آن دسترسی داده شده، ارسال کند.

اما این تمام ماجرا نیست. این آسیب ‌پذیری می‌تواند به سایر سرویس‌ها مانند Power Apps و Copilot Studio  گسترش یابد، به‌طوری که مهاجم بتواند با ایجاد یک اپلیکیشن متداول در Canvas یا یک عامل Copilot برای جمع‌آوری توکن کاربر، دسترسی خود را افزایش دهد.

ماهیت به‌هم‌پیوسته سرویس‌های Power Platform می‌تواند منجر به خطرات امنیتی جدی شود، به‌ویژه با توجه به استفاده گسترده از کانکتور SharePoint، که بسیاری از داده‌های حساس شرکتی در آن ذخیره می‌شود و ممکن است اطمینان از حفظ حقوق دسترسی مناسب در محیط‌های مختلف پیچیده باشد.

از کاربران خواسته می‌شود که هوشیار باشند و اطمینان حاصل کنند که شیوه‌های امنیتی آن‌ها به‌ویژه در مدیریت نقش‌ها و مجوزها در محیط‌های Power Platform  قوی و مؤثر است. سازمان‌ها می‌بایست به‌طور منظم پیکربندی‌های امنیتی و کنترل‌های دسترسی خود را بررسی کنند تا خطرات مرتبط با چنین آسیب ‌پذیری‌هایی را کاهش دهند.

منبع