Uma falha no Microsoft Bing pode alterar os resultados da pesquisa

Uma falha de segurança grave foi encontrada nos resultados de pesquisa do Bing. Felizmente, mais medo do que danos.

Uma vulnerabilidade de segurança grave foi descoberta recentemente. Isso permite que os especialistas modifiquem propositadamente os resultados de pesquisa do Bing. A vulnerabilidade foi descoberta em janeiro passado pela empresa de segurança cibernética Wiz, que imediatamente a relatou ao Microsoft Security Response Center (MSRC).

Vulnerabilidade de segurança grave encontrada nos resultados de pesquisa do Bing

Em uma conversa no Twitter, o pesquisador do Wiz, Hillay Ben-Sasson, explicou como conseguiu hackear o sistema de gerenciamento de conteúdo (CMS) do Bing. Ao conectar-se à plataforma de nuvem Microsoft Azure, ele descobriu que poderia dar a todos os usuários acesso aos aplicativos internos da empresa de Redmond. Ele então acessou o banco de dados de resultados de pesquisa do Bing. A partir daí, Hillay Ben-Sasson encontrou uma maneira de alterar o que aparece nos resultados conforme desejado.

Os pesquisadores do Wiz também descobriram que o Bing é vulnerável a um ataque de script entre sites (XSS) e descobriram que eles têm acesso a dados confidenciais do Office 365, incluindo e-mails do Outlook, do calendário e mensagens do Teams. O MSRC detalhou as atualizações de segurança relevantes e compartilhou suas práticas recomendadas para desenvolvedores e administradores do Azure em uma postagem no blog .

Felizmente, mais medo do que danos

O objetivo dos experimentos desses pesquisadores era mostrar que isso é possível e compartilhar com a Microsoft. Mas também mostra como os hackers podem prejudicar o Bing. “Um invasor com o mesmo acesso poderia ter sequestrado os resultados de pesquisa mais populares usando o mesmo procedimento e, assim, vazado os dados de milhões de usuários”, diz a postagem do blog Wiz.

Felizmente, mais medo do que dano, por assim dizer, nenhum dano sério parece ter sido causado. A Microsoft confirmou que esta vulnerabilidade foi corrigida no fim de semana. E, ao mesmo tempo, Wiz recebeu uma recompensa de $ 40.000 de seu programa de recompensas para encontrar bugs por relatar um bug. A empresa anunciou que iria doá-lo para uma organização de sua escolha.

Hackeei o @Bing CMS, o que me permitiu alterar os resultados da pesquisa e controlar milhões de contas do @Office365 .
Como eu fiz isso? Bem, tudo começou com um simples clique em @Azure … ?
Esta é a história do #BingBang ?⬇️ pic.twitter.com/9pydWvHhJs

— Hillai Ben-Sasson (@hillai) 29 de março de 2023