CVE-2026-24304

Nieprawidłowa kontrola dostępu w Azure Resource Manager — privilege escalation

CVSS 9.9v3.1pub. 2026-01-23upd. 2026-02-12

Podatność w Microsoft Azure Resource Manager umożliwia uwierzytelnionemu atakującemu eskalację uprawnień przez sieć. Ocena CVSS 9.9 wskazuje na krytyczne ryzyko naruszenia poufności, integralności i dostępności zasobów chmurowych.

▸ Pokaż oryginał (EN)

Improper access control in Azure Resource Manager allows an authorized attacker to elevate privileges over a network.

🤖 Analiza AI

Jak działa

Błąd polega na niewłaściwej kontroli dostępu (CWE-284) w usłudze Azure Resource Manager. Uwierzytelniony atakujący posiadający podstawowy poziom uprawnień może, przesyłając odpowiednio spreparowane żądania sieciowe, ominąć mechanizmy autoryzacji i uzyskać uprawnienia wykraczające poza przyznany zakres. Wektor sieciowy oraz brak wymogu interakcji użytkownika sprawiają, że atak może być przeprowadzony zdalnie i bez udziału ofiary.

Skutki

Atakujący może uzyskać podwyższone uprawnienia w środowisku Azure, co potencjalnie pozwala na pełne przejęcie kontroli nad zasobami chmurowymi, odczyt i modyfikację danych oraz zakłócenie działania usług w ramach dotkniętej subskrypcji lub dzierżawy.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-24304. W przypadku usług zarządzanych przez Microsoft aktualizacje mogą być wdrażane automatycznie po stronie platformy — zaleca się weryfikację statusu w Microsoft Security Response Center.