Microsoft Power 的默认设置导致 3800 万份记录数据对外部暴露
据外媒报道，许多公司都在使用微软的Power App平台，由于默认安全设置较弱，所以这意味着3800万份记录的敏感数据向公众公开了好几个月。Upguard进行的调查显示，Power App用户中有相当多的人没有保护自己的数据库。
进一步的调查显示，这个问题是由薄弱的默认安全设置造成的，如果用户不采取手动操作数据就会暴露在外面。
根据Wired的一份报告，美国航空公司、福特公司、纽约市公立学校和多个州的COVID-19接触者追踪数据库等来源的数据都被暴露。Upguard最初的发现是在2021年5月，但微软的修复程序直到8月才全面推出。
UpGuard负责 *** 研究的副总裁Greg Pollock表示：“我们发现其中一个被错误配置为暴露数据，我们从没听说过这种情况，我们想，这是一次性问题，还是一个系统性问题？由于Power Apps门户产品的工作方式，所以很容易快速进行调查。我们发现有很多这样的东西暴露在外。这是疯狂的。”
Upguard开始调查大量的Power App门户网站，这些网站本应是私有的–甚至是微软开发的应用也存在配置错误的情况。然而，尽管这些数据是向公众开放的，但据知没有任何数据被泄露。
问题的核心在于默认的安全设置。比如在设置Power App和连接API时，平台默认使相应的数据可以公开访问。
由于8月份的更新，Power Apps将默认设置安全设置以保护数据隐私。虽然Upguard努力跟公开敏感数据的平台进行沟通，但安全问题的规模太大、无法涵盖每一家企业。
“安全的默认设置非常重要，”开放加密审计项目(Open Crypto Audit Project)主任Kenn White指出：“当一个模式出现在使用特定技术构建的面向 *** 的系统中而该系统仍配置错误时就会出现非常严重的问题。如果来自不同行业和技术背景的开发者继续在一个平台上犯同样的错误，那么这个平台的创造者就应该受到关注。”
据悉，暴露的数据包括几个COVID-19接触者追踪平台、疫苗接种注册、工作申请门户和员工数据库。从社会安全号码到姓名和地址的所有信息都留在了开放的数据库中。
Upguard再次表示，目前还没有任何数据被泄露。
Microsoft Power应用的安全设置问题跟该领域的许多其他平台的问题相呼应。像亚马逊和Google这样的公司经常也面临默认设置不佳而导致数据泄露的问题。
（消息及封面来源：cnBeta）
“Microsoft Power 的默认设置导致 3800 万份记录数据对外部暴露” 的相关文章
研究人员发现针对乌克兰的第 3 款擦除恶意软件
研究人员近日发现了针对乌克兰计算机的新型擦除恶意软件（以破坏关键文件和数据为目的），这是俄乌冲突以来发现的第 3 款擦除恶意软件。 这种被称为 CaddyWiper 的恶意软件是由总部位于斯洛伐克的网络安全公司 ESET 的研究人员发现的，他们在周一发布的推文中分享了细节。 据研究人员称，该...
意大利对 Clearview AI 罚款 2000 万欧元并令其删除数据
一家欧洲隐私监督机构已经制裁了有争议的面部识别公司Clearview AI，该公司从互联网上搜刮自拍，积累了约100亿张脸的数据库，为其出售给执法部门的身份匹配服务。意大利的数据保护机构今天宣布对Clearview AI违反欧盟法律的行为处以2000万欧元罚款。 同时命令这家有争议的公司删除其...
超过 350 万俄罗斯互联网用户的账户被攻破 增长速度冠绝全球
Surfshark的一项研究显示，自3月开始入侵乌克兰以来，俄罗斯账户被攻破的次数比2月多136%。反过来，乌克兰在黑客攻击中充当受害者的场景比战争前的那个季度少67%。这些数字很可能是由于黑客组织Anonymous在冲突开始时宣布它将特意针对俄罗斯的事实。 sandr Valentij说。”泄...
一款家用新冠检测电子试剂盒存在漏洞 可让用户伪造结果
一名安全研究人员发现了Cue Health公司家用COVID-19检测试剂盒的一个漏洞，可能会让用户伪造结果。Cue Health的COVID-19检测试剂盒是一种蓝牙操作的分子测试，可以在20分钟内检测出阳性标本。该系统使用鼻拭子测试冠状病毒，鼻拭子被插入一个一次性盒中，由电池供电的Cue阅读器进...
一项研究显示各家汽车制造商收集了海量个人信息
大多数人都知道，现代电子设备，如智能手机、平板电脑和计算机，存储了我们个人和私人生活的一系列信息，我们不希望陌生人得到这些信息。然而，许多人没有考虑到他们的车辆信息娱乐系统和其他系统内到底储存了多少个人信息。 现在一份报告研究了全球15大汽车制造商，并调查了它们之间的数据共享政策。该研究对每个品牌2...
Conti勒索软件团伙“内讧” 分享诸多内部聊天记录
在俄罗斯入侵乌克兰之后，Conti 勒索软件团伙于周五在其官方网站上发布了一条激进的亲俄信息后，该团队中的一名成员（据信是乌克兰人）泄露了该团伙的内部聊天记录。 这条公开的亲俄信息似乎让 Conti 的一些乌克兰成员感到不快，其中一人黑进了该团伙的内部 Jabber/XMPP 服务器。今天早些时候...
评论列表
发表评论
