Des chercheurs en IA de Microsoft ont accidentellement exposé des téraoctets de données internes sensibles, notamment des clés privées et des mots de passe, lors de la publication d'un dépôt de données d'entraînement open source sur GitHub.
La divulgation involontaire de ces informations aurait pu permettre à toute personne ayant accès à l'URL de manipuler, supprimer ou injecter du contenu malveillant dans les données exposées.
Une grave faille de sécurité chez Microsoft expose des informations sensibles.
Dans le cadre d'une enquête, la start-up de sécurité cloud Wiz a déclaré avoir découvert un dépôt GitHub appartenant à la division de recherche en IA de Microsoft, dans le cadre de ses travaux en cours sur l'exposition accidentelle de données hébergées dans le cloud.
Les utilisateurs du dépôt GitHub, qui proposait du code source ouvert et des modèles d'IA pour la reconnaissance d'images, étaient invités à télécharger ces modèles depuis une URL de stockage Azure. Or, Wiz a découvert que cette URL était configurée pour accorder des autorisations sur l'ensemble du compte de stockage , exposant ainsi par inadvertance des données privées supplémentaires.
Que contenaient les données Microsoft exposées ?
Ces informations comprenaient 38 téraoctets de données sensibles , ainsi que des sauvegardes personnelles provenant des ordinateurs personnels de deux employés de Microsoft. Les données contenaient également d'autres informations personnelles confidentielles , telles que des mots de passe de services Microsoft, des clés secrètes et plus de 30 000 messages internes Microsoft Teams provenant de centaines d'employés de Microsoft.
L'URL, qui exposait ces données depuis 2020, était également mal configurée pour autoriser un « contrôle total » au lieu d'autorisations en lecture seule, selon Wiz, ce qui signifie que toute personne sachant où chercher pouvait potentiellement supprimer, remplacer et injecter du contenu malveillant dans ces données.
Wiz souligne que le compte de stockage n'était pas directement exposé. En réalité, les développeurs d'IA de Microsoft ont inclus un jeton SAS (Shared Access Signing) excessivement permissif dans l'URL . Les jetons SAS sont un mécanisme utilisé par Azure qui permet aux utilisateurs de créer des liens partageables donnant accès aux données d'un compte de stockage Azure.
Conclusion
L'incident impliquant les chercheurs en IA de Microsoft souligne la nécessité de mettre en œuvre des mesures de sécurité plus rigoureuses lors du traitement de grandes quantités de données.
Les utilisateurs doivent également être conscients des risques liés à la divulgation accidentelle de données et prendre des mesures pour protéger leurs informations personnelles.
Par ailleurs, cet incident met également en lumière les risques liés à l'accès non autorisé à des données sensibles. Il est donc essentiel que les entreprises et les développeurs mettent en œuvre des mesures de sécurité appropriées afin de prévenir toute divulgation de données confidentielles.
