近日，云安全初创公司Wiz Research在微软AI的GitHub存储库中发现了一起数据泄露事件，原因是配置错误的共享访问签名（SAS）令牌。微软的AI研究团队在GitHub上发布了开源训练数据，但意外暴露了38TB的其他内部数据，包括微软几名员工个人PC的磁盘备份。这些磁盘备份中，又包含了机密、私人密钥、密码和数百名Microsoft员工超过30000条Microsoft Teams内部消息。 据悉，涉事的GitHub存储库提供了用于图像识别的开源代码和AI模型，访问者需要从Azure存储URL下载模型。然而，Wiz发现该URL被配置为授予整个存储账户的权限，错误地暴露了其他私人数据。据悉，该URL自2020年起就暴露了这些数据，且该URL也被错误配置为允许“完全控制”而不是“只读”权限，这意味着任何知道在哪里查看的人都可能删除、替换和注入恶意内容进入其中。 Wiz表示，它已经于6月22日向微软报告了这一问题，两天后的6月24日，微软宣布撤销SAS令牌。微软表示，它于8月16日完成了对潜在组织影响的调查。整个事件的具体时间线如下： 2020年7月20日-SAS令牌首次提交到GitHub；到期日定为2021年10月5日。 2021年10月6日-SAS令牌到期日更新为2051年10月6日。 2023年6月22日-Wiz Research发现问题并向微软报告。 2023年6月24日-微软宣布SAS令牌失效。 2023年7月7日-SAS令牌在GitHub上被替换。 2023年8月16日-微软完成对潜在影响的内部调查。 2023年9月18日-Wiz Research公开披露此事。
本文属于原创文章，如若转载，请注明来源：38TB的内部数据泄露 微软被闷在鼓里https://news.zol.com.cn/833/8332383.html
