Kritische Schwachstelle in Microsofts Azure Health Bot Service

Durch Ausnutzung der Schwachstelle hätte ein Bedrohungsakteur auf Hunderte von Ressourcen von Azure-Kunden zugreifen können. Tenable Research meldete die Schwachstellen umgehend an Microsoft, sobald deutlich wurde, dass hochsensible Daten betroffen waren.

Der Azure Health Bot Service ist eine Cloud-Plattform, die es Beschäftigten im Gesundheitswesen ermöglicht, KI-gestützte virtuelle Assistenten einzusetzen. Im Wesentlichen ermöglicht es der Service Gesundheitsdienstleistern, ihren Patienten Chatbots anzubieten, die in begrenztem Umfang administrative Workflows übernehmen. Zu diesem Zweck haben diese Chatbots Zugriff auf sensible Patientendaten, wobei die verfügbaren Informationen je nach Konfiguration des jeweiligen Bots variieren können.

Fehler in Architektur des Chatbot-Service

„Angesichts des Zugriffslevels wäre es wahrscheinlich möglich gewesen, sich lateral zu anderen Ressourcen in Kundenumgebungen zu bewegen“, sagt Jimi Sebree von Tenable. „Die Schwachstellen waren eher auf einen Fehler in der zugrundeliegenden Architektur des Chatbot-Service zurückzuführen als auf die KI-Modelle selbst. Dies unterstreicht die anhaltende Bedeutung klassischer Web-App- und Cloud-Security im Zeitalter KI-gestützter Chatbots.“

Microsoft hat bestätigt, dass Behebungsmaßnahmen für alle betroffenen Services und Regionen ergriffen wurden. Seitens der Kunden sind keine Maßnahmen erforderlich.