CVE-2026-33107

Podatność klasy SSRF (CWE-918) polega na tym, że aplikacja po stronie serwera wykonuje żądania sieciowe na podstawie danych kontrolowanych przez atakującego, bez odpowiedniej walidacji. W przypadku Azure Databricks nieuwierzytelniony atakujący sieciowy może spreparować żądania kierowane do wewnętrznych zasobów środowiska chmurowego. Wykorzystanie tej podatności prowadzi do eskalacji uprawnień, potencjalnie dając atakującemu dostęp do zasobów i danych niedostępnych dla zwykłych użytkowników. Wektor ataku jest sieciowy, bez wymogu uwierzytelnienia (PR:N) i bez interakcji użytkownika (UI:N), co oznacza pełną zdalną eksploatację.

Atakujący może uzyskać pełną kontrolę nad zasobami środowiska Azure Databricks, w tym poufność, integralność i dostępność danych — wszystkie trzy wymiary ocenione jako HIGH przy rozszerzonym zakresie ataku (S:C). W praktyce oznacza to możliwość nieuprawnionego dostępu do wewnętrznych usług, kradzieży danych oraz potencjalnego przejęcia kontroli nad infrastrukturą.

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33107. Zaleca się bezzwłoczne śledzenie komunikatów Microsoft Security Response Center i zastosowanie aktualizacji niezwłocznie po ich udostępnieniu. Dodatkowo warto ograniczyć dostęp sieciowy do środowisk Azure Databricks wyłącznie do zaufanych źródeł oraz monitorować ruch wychodzący z instancji pod kątem anomalii.

Microsoft Azure Databricks — wersje wskazane w referencjach producenta (Microsoft Security Response Center).