CRITICAL✓ PATCH🇬🇧 English

CVE-2025-49747

Brak autoryzacji w Azure Machine Learning umożliwia privilege escalation

CVSS 9.9v3.1pub. 2025-07-18upd. 2025-08-14

Podatność w Microsoft Azure Machine Learning polega na braku mechanizmów autoryzacji (CWE-862), co pozwala uwierzytelnionemu atakującemu na eskalację uprawnień przez sieć. Ocena CVSS 9.9 wskazuje na krytyczne zagrożenie z potencjalnym wpływem na poufność, integralność i dostępność zasobów.

Pokaż oryginał (EN)

Missing authorization in Azure Machine Learning allows an authorized attacker to elevate privileges over a network.

🤖 Analiza AI
Jak działa

Atakujący posiadający podstawowe uprawnienia w środowisku Azure Machine Learning może wykorzystać brak właściwej weryfikacji autoryzacji do wykonania operacji wymagających wyższych uprawnień. Podatność jest możliwa do wykorzystania zdalnie przez sieć bez konieczności interakcji użytkownika i przy niskiej złożoności ataku. Zakres ataku (Scope: Changed) sugeruje, że skutki mogą wykraczać poza bezpośrednio narażony komponent.

Skutki

Atakujący może uzyskać nieautoryzowaną eskalację uprawnień, prowadzącą do pełnego naruszenia poufności, integralności i dostępności zasobów — potencjalnie obejmując zasoby wykraczające poza pierwotny zakres dostępu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-49747

Kogo dotyczy

Microsoft Azure Machine Learning — wersje wskazane w referencjach producenta

CVSS Vector
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
  • Microsoft Azure Machine Learning

    APP
    Microsoft
    wszystkie wersje
🟢
PATCH DOSTĘPNY
Aktualizacja od producenta gotowa. Wdrożenie w ramach standardowego cyklu.
CWE
Referencje

Powiązane podatności

CVE-2025-49746CRITICAL9.9PL ✓ten sam produkt

Privilege escalation w Azure Machine Learning przez błąd autoryzacji

CVE-2025-30390CRITICAL9.9PL ✓ten sam produkt

Nieprawidłowa autoryzacja w Azure Machine Learning — privilege escalation

CVE-2026-33833HIGH8.2ten sam produkt

Improper neutralization of special elements in output used by a downstream component ('injection') in Azure Ma...

CVE-2026-32207HIGH8.8ten sam produkt

Improper neutralization of input during web page generation ('cross-site scripting') in Azure Machine Learning...

CVE-2025-47995MEDIUM6.5ten sam produkt

Weak authentication in Azure Machine Learning allows an authorized attacker to elevate privileges over a netwo...