Ein Fehler in Microsoft Bing könnte Suchergebnisse verändern

In den Bing-Suchergebnissen wurde eine schwerwiegende Sicherheitslücke gefunden. Zum Glück mehr Angst als Schaden.

Kürzlich wurde eine schwerwiegende Sicherheitslücke entdeckt. Dies ermöglicht es Experten, Bing- Suchergebnisse gezielt zu modifizieren . Die Sicherheitslücke wurde im vergangenen Januar vom Cybersicherheitsunternehmen Wiz entdeckt und sofort an das Microsoft Security Response Center (MSRC) gemeldet.

In den Bing-Suchergebnissen wurde eine schwerwiegende Sicherheitslücke gefunden

In einem Twitter-Gespräch erklärte Wiz-Forscherin Hillay Ben-Sasson, wie es ihm gelang, das Content-Management-System (CMS) von Bing zu hacken. Durch die Anbindung an die Cloud-Plattform Microsoft Azure stellte er fest, dass er allen Benutzern von Redmond aus Zugriff auf die internen Anwendungen des Unternehmens gewähren konnte. Anschließend griff er auf die Bing-Suchergebnisdatenbank zu. Von dort aus fand Hillay Ben-Sasson einen Weg, die Darstellung in den Ergebnissen wie gewünscht zu ändern.

Wiz-Forscher entdeckten außerdem, dass Bing anfällig für einen Cross-Site-Scripting-Angriff (XSS) ist, und stellten fest, dass sie Zugriff auf vertrauliche Office 365-Daten haben, darunter Outlook-E-Mails, den Kalender und Nachrichten von Teams. In einem Blogbeitrag erläuterte MSRC die relevanten Sicherheitsupdates und teilte seine Best Practices für Azure-Entwickler und -Administratoren mit .

Zum Glück mehr Angst als Schaden

Der Zweck der Experimente dieser Forscher bestand darin, zu zeigen, dass dies möglich ist, und es mit Microsoft zu teilen. Es zeigt aber auch, wie Hacker Bing schaden könnten. „Ein Angreifer mit demselben Zugriff hätte mit demselben Verfahren die beliebtesten Suchergebnisse kapern und dadurch die Daten von Millionen von Benutzern preisgeben können“, heißt es im Wiz-Blogbeitrag.

Zum Glück, sozusagen mehr Angst als Schaden, scheint kein ernsthafter Schaden entstanden zu sein. Microsoft hat bestätigt, dass diese Schwachstelle am Wochenende behoben wurde. Und gleichzeitig erhielt Wiz ein Kopfgeld in Höhe von 40.000 US-Dollar aus seinem Bug-Finding-Kopfgeldprogramm für die Meldung eines Fehlers. Das Unternehmen kündigte an, es an eine Organisation seiner Wahl zu spenden.

Ich habe @Bing CMS gehackt , wodurch ich Suchergebnisse ändern und Millionen von @Office365- Konten übernehmen konnte.
Wie habe ich es gemacht? Nun, alles begann mit einem einfachen Klick auf @Azure … ?
Das ist die Geschichte von #BingBang ?⬇️ pic.twitter.com/9pydWvHhJs

— Hillai Ben-Sasson (@hillai) 29. März 2023