科学研究工作人员说，微软公司Azure业务系统有一个早已存有了四年的漏洞，该漏洞很有可能会曝露用PHP、Python、Ruby或Node撰写的计算机网络系统的源代码，这种运用全是在当地应用Git部署的。
依据Wiz的剖析，该漏洞几乎可以毫无疑问早已做为零日漏洞被在野利用了。该企业将该漏洞称之为 "NotLegit"，并表明它自2017年9月至今就一直存有。
Azure业务系统(又被称为Azure Web Apps)是一个根据云计算技术的服务平台，适用于代管网址和计算机网络程序流程。与此同时，当地Git容许开发者在Azure业务系统器皿内运行当地的Git库房，便于于将编码立即部署到云服务器上。部署后，互联网技术上的所有人都能够在*.azurewebsites.net域名下访问该应用软件。
这一漏洞发生的根本原因是由于当应用当地Git时，Git文件夹名称也会被提交并在未修复漏洞的系統上公布访问;它会被摆放在"/home/site/wwwroot "文件目录中，所有人都能够开展访问。
据该公司称，从安全性视角看来，这有很严重的问题。
科学研究工作人员在近期的一篇文章中强调："除开源代码很有可能包括登陆密码和访问动态口令等数据外，泄漏的源代码通常会被用以进一步的繁杂进攻，如用于搜集研发部的情报信息，科学研究内部结构基础设施建设，及其找寻手机软件漏洞。当源代码可以用时，找寻手机软件的漏洞就需要非常容易得多了"。
她们填补说，大部分，一个故意网络攻击所需做的就是以总体目标应用软件中获得'/.git'文件目录，并查找在其中的源代码。
拙劣的改善对策
微软公司最开始的确发布了一个用以减轻该漏洞的方式，其方法是在公共性文件目录下的Git文件夹名称中加上一个"web.config "文档，限定群众的访问。但事实上这一修补对策并非一个有效的方式。
仅有微软公司的IIS网络服务器会解决web.config文件，可是[假如]你应用了PHP、Ruby、Python或Node......这种计算机语言会被部署在不一样的webservers(Apache、Nginx、Flask等)内，他们并不会解决web.config文件，这也就促使减轻对策对她们没有实际效果，因而很容易遭受进攻。
Wiz在10月份向微软公司汇报了这一一直以来一直出现的漏洞，并因这一发觉得到了7500美金的悬赏金;而该大佬在12月7日至15日中间根据电子邮箱向受影响的用户部署了修补对策。
很有可能早已被在野利用
科学研究工作人员警示说，Git文件夹名称常常因为工作员不正确的配备(不仅是漏洞，如本实例)而被泄露在互联网上。因而，互联网犯罪嫌疑人已经积极主动找寻他们。
她们说："Git文件夹名称的曝露是一个很普遍的安全性漏洞，用户乃至也没有意识到这一点。故意网络攻击已经持续扫描仪互联网技术，找寻裸露的Git文件夹名称，她们可以从这当中搜集机构的密秘和更多信息。"
Wiz部署了一个有漏洞的Azure服务项目应用软件，并将其连接到了一个未采用的域，看一下是不是会出现一切进攻工作人员对它进行利用。
她们说："大家一直耐心地等候，看是不是会有些人尝试访问Git文档。"在部署后的四天内，大家一点也不诧异地看到了来源于不明网络攻击对Git文件夹名称的好几个要求....，这类利用方式很容易并且广泛，如今已经被犯罪嫌疑人很多的利用。"
据Wiz称，下列用户应立即评定潜在性的风险性，保证并升级她们的系统软件。
1、根据FTP或Web Deploy或Bash/SSH部署编码的用户，这会造成文档在一切git部署以前Web运用中便会被复位。
2、在网络技术应用中开启LocalGit的用户。
3、用Git复制/消息推送编码序列公布升级的用户。
科学研究工作人员强调："因为安全隐患是产生在Azure服务项目中，很多的云空间用户遭受了危害，并且她们也不知道或沒有得到其他的维护。
文中翻譯自：https://threatpost.com/microsoft-azure-zero-day-source-code/177270/倘若转截，请标明全文详细地址。