Egy szivárogtató állítása szerint a Microsoft által figyelmen kívül hagyott kritikus hiba nagy jelentőségű támadást eredményezett

Andrew Harris, a Microsoft egy korábbi alkalmazottja azt állítja, hogy a vállalat figyelmen kívül hagyta a figyelmeztetéseit a szoftverének egy kritikus hibájáról, amelyet később orosz hackerek használtak ki a SolarWinds kibertámadás során. Harris 2016-ban fedezett fel egy sebezhetőséget a Microsoft Active Directory Federation Services (AD FS) szolgáltatásában, amely lehetővé tette a támadók számára, hogy legitim felhasználóknak adják ki magukat, és észrevétlenül hozzáférjenek érzékeny adatokhoz. Harris többszöri figyelmeztetése ellenére a Microsoft állítólag az üzleti érdekeket helyezte előtérbe a biztonsággal szemben, mivel félt a jövedelmező kormányzati szerződések elvesztésétől, ha a hibát publikálják.

A sebezhetőség, amelyet Harris “Golden SAML”-nek nevezett el, lehetővé tette a hackerek számára, hogy több szövetségi ügynökséget, köztük a National Nuclear Security Administrationt és a National Institutes of Health-et is feltörjék. Bár a Microsoft kezdetben lekicsinyelte a betörésben játszott szerepét, a vállalat végül azt tanácsolta az ügyfeleknek, hogy a kockázat csökkentése érdekében tiltsanak le bizonyos funkciókat. Harris beszámolója aggodalomra ad okot a vállalat biztonsági kultúrájával és a kiberbiztonsági fenyegetések kezelésével kapcsolatban, különösen mivel a vállalat továbbra is versenyben van a felhőalapú számítástechnika piacán.

(forrás)