微软AI医疗机器人发现严重漏洞,可能泄露隐私
创始人
2024-08-16 09:42:05
0

微软的AI医疗聊天机器人服务中存在严重的安全漏洞。漏洞允许未经授权的访问者获取用户和客户的个人信息。

漏洞中其中一个被评定为“严重”等级,攻击者可能利用漏洞在Azure Health Bot服务的网络环境中进行横向移动。

目前,微软已对发现的漏洞采取了缓解措施,无需客户再做行动。

1

AI聊天机器人被利用

Azure Health Bot Service是一个云平台,医疗保健组织能够构建和部署AI驱动的虚拟助手,以降低成本并提高效率。

在检查该服务的安全问题时,Tenable研究人员研究了“数据连接”这一功能上,机器人能够从外部数据源获取信息,这可能包括患者医疗信息等敏感数据。

这个数据连接功能是为了使得服务的后端系统能够向第三方应用程序API接口发送请求。

在测试这些连接以查看它们是否可以与服务内部的端点交互时,研究人员发现,发出重定向响应使他们能够绕过这些端点上的一些安全措施,例如过滤机制。

在此过程中发现了两个权限提升漏洞。

2

漏洞一:严重权限提升漏洞

Tenable研究人员详述的第一个漏洞是通过服务器端请求伪造的方式被利用,通用漏洞披露CVE编号为CVE-2024-38109。

随后,研究人员配置了这个外部主机,使其对请求以301重定向响应,目标是IMDS(内部元数据服务)。

在接收到有效的元数据响应后,研究人员能够获得一个访问令牌,这个令牌为他们提供了一个微软内部的订阅ID。最后发现访问的资源中包含了数百个属于其他客户的资源。

这些发现在2024年6月17日报告给了微软,并且在一周内,修复措施被引入到受影响的环境中。到7月2日,修复措施已经在全球范围内推出。

修复这个漏洞的方法是完全拒绝数据连接端点的重定向状态码,这消除了这个攻击向量。

微软将这个漏洞评为严重等级,确认它将提供跨租户访问。它已被包含在微软2024年8月的Patch Tuesday出版物中。

没有证据表明这个问题被恶意行为者利用过。

3

漏洞二:重要权限提升漏洞

在Microsoft修复第一个漏洞后,Tenable研究人员在Azure Health Bot Service的数据连接功能中发现了另一个权限升级漏洞。

研究人员使用类似的服务器端请求伪造技术来利用FHIR端点向量中包含的漏洞,该向量规定了访问电子病历资源和对资源执行操作的格式。

这个漏洞比IMDS漏洞的严重程度要低,因为它不提供跨租户访问权限。

研究人员在7月9日向微软报告了这个漏洞,微软在7月12日提供了修复措施。这个漏洞被评定为重要级别。

目前没有证据表明这个问题被恶意行为者所利用。

微软警告:Office零日漏洞可能导致数据泄露

2024.08.14

报告 | 2023年暗网价格指数(中文版)

2024.08.13

黑客声称窃取腾讯14亿用户信息,数据量达500GB

2024.08.15

相关内容

大数据时代,我们需要怎样的...
大数据时代,我们需要怎样的AI+教育?7月5日,“人工智能通识教育...
2025-07-06 18:42:26
钢材产量同比增长2.1%!...
记者今天从中国钢铁工业协会了解到,1—5月,在政策利好、原燃料价格...
2025-07-05 18:43:20
“AI搜索功能很强大,但我...
这要命的幻觉率! 听筒Tech(ID:tingtongtech)原...
2025-07-04 21:42:16
中企利用AI技术提升医疗保...
参考消息网7月4日报道据美国消费者新闻与商业频道网站6月26日报道...
2025-07-04 21:42:16
日媒赞叹:中国正低调打造一...
【文/观察者网 王一】“中国提供社会福利的方式发生了一种悄无声息但...
2025-07-04 18:11:58
锐捷网络:推出"...
金融界7月4日消息,有投资者在互动平台向锐捷网络提问:董秘你好,请...
2025-07-04 16:13:30

热门资讯

原创 2... #春日生活好物种草季#近年来,笔记本电脑市场迎来技术爆发期,尤其在手机厂商跨界入局后,轻薄本在性能、...
AMD锐龙AI 9 HX 37... 2024年6月3日,AMD正式发布全新的锐龙AI 300系列处理器。该系列处理器一经发布就引发大家的...
骁龙本这么猛?联想YOGA A... 在人人都是自媒体的时代,一部手机可以解决出镜拍摄问题,而商务出差、大量码字、图像处理等需求用笔记本则...
5个AI模特生成软件推荐 当前AI模特生成软件市场提供了多样化的解决方案,以下是几款备受推崇的工具: 触站AI:强烈推荐!...
2023年CentOS与Ubu... CentOS与Ubuntu的市场格局与技术特性探讨 在服务器操作系统领域,CentOS与Ubuntu...
苹果macOS 15.1:允许... 苹果公司在其最新的macOS 15.1版本中,推出了一项引人注目的新功能——允许用户将Mac App...
原创 苹... 前言 IQUNIX在做好看的桌面产品上,一直都给我留下非常深刻的印象。而且早期和苹果产品的设计风格...
原创 华... 想在竞争残酷的市场中发力,必须要带来一些激进的卖点,但是随着功能特性的提升,硬件也必须要进行给力才可...
原创 华... 在2024年这个被誉为"AI元年"的关键时刻,随着生成式AI的流行,各家手机厂商都在积极备战AI手机...