内容摘要：据The Hacker News 6月14日消息，微软 Azure Bastion 和 Azure Container Registry 披露了两个严重的安全漏洞，这些漏洞可能被利用来执行跨站脚本攻击

据The 微软Hacker News 6月14日消息，微软 Azure Bastion 和 Azure Container Registry 披露了两个严重的披露安全漏洞，这些漏洞可能被利用来执行跨站脚本攻击 (XSS)  。中重漏站脚

Orca 安全研究员 Lidor Ben Shitrit 在一份报告中表示，严洞这些漏洞允许在受感染的用执 Azure 服务 iframe 中未经授权访问受害者的会话，从而导致未经授权的行跨数据访问、源码下载未经授权的本攻修改以及 Azure 服务 iframe 的中断 。

XSS攻击发生在攻击者将任意代码注入原本可信任的微软网站时
，每次当毫无戒心的披露用户访问该网站，该代码就会被执行。中重漏站脚

Orca 发现的服务器租用严洞两个缺陷利用了 postMessage iframe 中的一个漏洞，从而实现 Window 对象之间的用执跨域通信。这意味着该漏洞可能会被滥用
，行跨以使用 iframe 标签将端点嵌入远程服务器，本攻并最终执行恶意 JavaScript 代码 ，微软从而导致敏感数据遭到破坏。

为了利用这些弱点 ，源码库攻击者必须对不同的 Azure 服务进行侦察
，以找出易受攻击的端点，这些端点可能缺少 X-Frame-Options 标头 ，或者是内容安全策略 ( CSP )薄弱
。

“一旦攻击者成功地将 iframe 嵌入远程服务器 ，他们就会继续利用配置错误的免费模板端点，”Ben Shitrit 解释道 。“他们专注于处理 postMessages 等远程事件的 postMessage 处理程序。”

因此 ，当受害者被引诱访问受感染的端点时 ，恶意的 postMessage 有效载荷被传送到嵌入式 iframe ，建站模板触发 XSS 漏洞并在受害者的上下文中执行攻击者的代码 。

在 Orca 演示的概念验证 (PoC) 中发现 ，特制的 postMessage 能够操纵 Azure Bastion Topology View SVG 导出器或 Azure Container Registry Quick Start 来执行 XSS 负载。在于 2023 年 4 月 13 日和 5 月 3 日披露这些漏洞之后
 ，微软已推出了安全修复程序来修复这些漏洞。高防服务器