마이크로소프트(Microsoft)의 클라우드 서비스 애저(Azure)에서 심각한 보안 결함이 드러났습니다. 애저 로직 앱의 API 연결에서 총 5건의 테넌트(tenant) 간 권한 상승 취약점이 발견되었으며, 이는 공격자가 다른 고객의 연결 자격 증명을 이용해 백엔드 서비스에 접근할 수 있게 하는 치명적인 문제였습니다. 이 취약점들은 보고 후 모두 수정되었으며, 마이크로소프트는 발견자에게 총 20만 달러의 보상금을 지급했습니다.
이번 취약점은 공유 API 관리(API Management, APIM)가 연결에 저장된 자격 증명으로 백엔드를 호출하는 구조에서 발생했습니다. 공격자는 DynamicInvoke와 문서화되지 않은 DynamicList 경로 탐색 취약점을 이용해 다른 테넌트의 키 볼트(Key Vault) 비밀을 읽고 SQL 데이터베이스에 데이터를 쓰는 데 성공했습니다. 특히 컨섬션 로직 앱(Consumption Logic Apps)에서는 소유권 검증을 우회하여 검증된 연결과 실제 호출 대상을 다르게 지정하는 공격이 가능했으며, 마이크로소프트의 수정 과정에서 회귀 오류(regression error)까지 발생하여 이전에 차단된 공격이 다시 가능해지는 문제도 있었습니다. 이러한 취약점들은 애저 리소스 매니저(Azure Resource Manager, ARM) REST API를 통해 APIM으로 전달되는 요청의 광범위한 권한을 악용한 것이 핵심입니다.
이번 사건은 클라우드 서비스의 '테넌트 간 격리(tenant isolation)'가 얼마나 중요한지 다시 한번 일깨워줍니다. 클라우드 환경에서 여러 고객(테넌트)이 동일한 인프라를 공유하는 만큼, 한 테넌트의 취약점이 다른 테넌트에게 영향을 미치지 않도록 강력한 보안 경계가 필수적입니다. 마이크로소프트는 신속하게 취약점을 수정했지만, 연이은 보안 사고와 수정 과정에서의 회귀 오류는 대규모 클라우드 플랫폼의 복잡성과 보안 유지의 어려움을 보여줍니다. 사용자들은 연결에 최소 권한의 자격 증명을 설정하는 등 보안 모범 사례를 준수하여 잠재적 위험을 최소화해야 합니다.