CVE-2026-50481

Privilege escalation w Azure Active Directory przez modyfikację danych niezmiennych

CVSS 9.9v3.1pub. 2026-08-07

Podatność w Azure Active Directory umożliwia uwierzytelnionemu atakującemu eskalację uprawnień przez sieć poprzez modyfikację danych uznawanych za niezmienne (MAID). Wysoki wynik CVSS 9.9 z zasięgiem wykraczającym poza komponent podatny (Scope: Changed) czyni tę lukę szczególnie niebezpieczną w środowiskach chmurowych.

▸ Pokaż oryginał (EN)

Modification of assumed-immutable data (maid) in Azure Active Directory allows an authorized attacker to elevate privileges over a network.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-471 (Modification of Assumed-Immutable Data) polega na tym, że atakujący może modyfikować dane, które system traktuje jako niezmienne i w pełni godne zaufania. W kontekście Azure Active Directory oznacza to możliwość manipulowania atrybutami lub obiektami katalogu, które normalnie nie powinny podlegać modyfikacji przez nieuprzywilejowanego użytkownika. Atak wymaga jedynie posiadania podstawowego, autoryzowanego dostępu do sieci — bez potrzeby interakcji ze strony ofiary ani spełnienia szczególnych warunków technicznych.

Skutki

Atakujący z niskim poziomem uprawnień może uzyskać znacznie wyższe uprawnienia w usłudze Azure Active Directory, potencjalnie przejmując kontrolę nad zasobami, tożsamościami i dostępem w całej dzierżawie (tenant). Konsekwencją może być naruszenie poufności i integralności danych zarządzanych przez katalog oraz możliwość lateral movement w środowisku chmurowym.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegóły aktualizacji opublikowane przez Microsoft pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50481. Jako dodatkowe środki ograniczające ryzyko zaleca się przegląd i minimalizację uprawnień kont w Azure Active Directory oraz monitorowanie nieoczekiwanych zmian w obiektach katalogu.