微软AI医疗机器人发现严重漏洞，可能泄露隐私

主要观点总结

本文报道了微软的AI医疗聊天机器人服务中存在的两个安全漏洞。第一个漏洞被评为严重等级，攻击者可利用此漏洞在Azure Health Bot服务的网络环境中进行横向移动并获取用户和客户信息。微软已采取措施修复这些漏洞。第二个漏洞虽然严重程度较低，但仍然存在风险。文中还提到了关于Office零日漏洞、黑客攻击事件等其他信息。

关键观点总结

关键观点1: 微软AI医疗聊天机器人服务存在的严重安全漏洞

漏洞允许未经授权的访问者获取用户和客户的个人信息，其中一些漏洞被评定为“严重”等级，攻击者可能利用这些漏洞进行横向移动。

关键观点2: Tenable研究人员对Azure Health Bot Service的研究

研究人员研究了数据连接功能，发现其中存在权限提升漏洞。第一个漏洞是通过服务器端请求伪造的方式被利用，涉及IMDS（内部元数据服务）。这个漏洞使研究人员能够获得访问令牌，进而访问其他客户的资源。

关键观点3: 漏洞的修复和评级

微软对这些漏洞采取了修复措施，并在全球范围内推出。第一个漏洞被评为严重等级，并已被包含在微软的Patch Tuesday出版物中。第二个漏洞虽然不提供跨租户访问权限，但也被评定为重要级别。

关键观点4: 其他安全事件

文章还提到了其他安全事件，如Office零日漏洞、黑客攻击腾讯等事件。这些事件提醒用户持续关注安全威胁和防范措施。