主要观点总结
本文报道了微软的AI医疗聊天机器人服务中存在的两个安全漏洞。第一个漏洞被评为严重等级，攻击者可利用此漏洞在Azure Health Bot服务的网络环境中进行横向移动并获取用户和客户信息。微软已采取措施修复这些漏洞。第二个漏洞虽然严重程度较低，但仍然存在风险。文中还提到了关于Office零日漏洞、黑客攻击事件等其他信息。
关键观点总结
关键观点1: 微软AI医疗聊天机器人服务存在的严重安全漏洞
漏洞允许未经授权的访问者获取用户和客户的个人信息，其中一些漏洞被评定为“严重”等级，攻击者可能利用这些漏洞进行横向移动。
关键观点2: Tenable研究人员对Azure Health Bot Service的研究
研究人员研究了数据连接功能，发现其中存在权限提升漏洞。第一个漏洞是通过服务器端请求伪造的方式被利用，涉及IMDS（内部元数据服务）。这个漏洞使研究人员能够获得访问令牌，进而访问其他客户的资源。
关键观点3: 漏洞的修复和评级
微软对这些漏洞采取了修复措施，并在全球范围内推出。第一个漏洞被评为严重等级，并已被包含在微软的Patch Tuesday出版物中。第二个漏洞虽然不提供跨租户访问权限，但也被评定为重要级别。
关键观点4: 其他安全事件
文章还提到了其他安全事件，如Office零日漏洞、黑客攻击腾讯等事件。这些事件提醒用户持续关注安全威胁和防范措施。
文章预览
微软的AI医疗聊天机器人服务中存在严重的安全漏洞。漏洞允许未经授权的访问者获取用户和客户的个人信息。 漏洞中其中一个被评定为“严重”等级，攻击者可能利用漏洞在Azure Health Bot服务的网络环境中进行横向移动。 目前，微软已对发现的漏洞采取了缓解措施，无需客户再做行动。 1 AI聊天机器人被利用 Azure Health Bot Service是一个云平台，医疗保健组织能够构建和部署AI驱动的虚拟助手，以降低成本并提高效率。 在检查该服务的安全问题时，Tenable研究人员 研究了“数据连接”这一功能上，机器人能够从外部数据源获取信息，这可能包括患者医疗信息等敏感数据。 这个数据连接功能是为了使得服务的后端系统能够向第三方应用程序API接口发送请求。 在测试这些连接以查看它们是否可以与服务内部的端点交互时，研究人员发现，发出重定向响应
………………………………
