CVE-2025-29813

Pominięcie uwierzytelnienia w Azure DevOps — eskalacja uprawnień przez sieć

CVSS 10.0v3.1pub. 2025-05-08upd. 2026-02-13

Krytyczna podatność w Azure DevOps umożliwia nieuwierzytelnionemu atakującemu eskalację uprawnień przez sieć bez jakiejkolwiek interakcji użytkownika. Ocena CVSS 10.0 oznacza maksymalny poziom ryzyka — pełne naruszenie poufności, integralności i dostępności.

▸ Pokaż oryginał (EN)

Authentication bypass by assumed-immutable data in Azure DevOps allows an unauthorized attacker to elevate privileges over a network.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-302 polega na tym, że mechanizm uwierzytelnienia opiera się na danych założonych jako niezmienne, które w rzeczywistości mogą zostać zmanipulowane przez atakującego. Atakujący sieciowy bez żadnych uprawnień i bez udziału ofiary może spreparować żądanie, które zostanie potraktowane przez system jako autoryzowane. W efekcie dochodzi do ominięcia (bypass) kontroli uwierzytelnienia i uzyskania podwyższonych uprawnień w środowisku Azure DevOps.

Skutki

Atakujący może uzyskać eskalację uprawnień w środowisku Azure DevOps, co w praktyce oznacza potencjalny pełny dostęp do repozytoriów kodu, potoków CI/CD, artefaktów oraz wrażliwych danych projektowych. Zakres naruszenia obejmuje pełną poufność, integralność i dostępność zasobów.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o aktualizacjach dostępne są pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-29813. W przypadku usługi chmurowej Microsoft może wdrożyć poprawki po stronie serwisu bez udziału klienta — zaleca się weryfikację statusu łatki w panelu administracyjnym oraz śledzenie komunikatów Microsoft Security Response Center.