HIGH✓ PATCH🇬🇧 English

CVE-2026-50653

Nieskończona pętla w Azure Active Directory — odmowa usługi (DoS)

CVSS 7.5v3.1pub. 2026-07-14upd. 2026-07-24

Podatność w Azure Active Directory polega na możliwości wywołania nieskończonej pętli przez nieuwierzytelnionego atakującego zdalnie przez sieć, co skutkuje odmową usługi (DoS). Zagrożone są systemy korzystające z Microsoft .NET Framework oraz wybrane wersje systemu Windows 10.

▸ Pokaż oryginał (EN)

Loop with unreachable exit condition ('infinite loop') in Azure Active Directory allows an unauthorized attacker to deny service over a network.

🤖 Analiza AI
Jak działa

Błąd sklasyfikowany jako CWE-400 (niekontrolowane zużycie zasobów) oraz CWE-835 (pętla z nieosiągalnym warunkiem wyjścia) wskazuje, że atakujący może wysłać spreparowane żądanie sieciowe, które wprowadza podatny komponent w nieskończoną pętlę. Pętla ta powoduje nadmierne zużycie zasobów procesora lub pamięci, uniemożliwiając normalne działanie usługi. Atak nie wymaga uwierzytelnienia ani interakcji użytkownika, a wektor sieciowy o niskiej złożoności sprawia, że jest łatwy do przeprowadzenia.

Skutki

Atakujący może zdalnie doprowadzić do niedostępności usługi (denial of service) na podatnym systemie, co może uniemożliwić działanie komponentów zależnych od Azure Active Directory. Wpływ ogranicza się wyłącznie do dostępności — poufność i integralność danych nie są zagrożone.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50653

Kogo dotyczy

Microsoft .NET Framework, Microsoft Windows 10 1607, Microsoft Windows 10 1809, Microsoft Windows 10 21H2 oraz Microsoft Windows 10 22H2.

CVSS Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  • Microsoft Azure Active Directory

    APP
    Microsoft
    wszystkie wersje

  • Microsoft .net Framework

    APP
    Microsoft
    3.54.6.24.74.7.14.7.24.84.8.1

  • Microsoft Windows 10 1607

    OS
    Microsoft
    wszystkie wersje

  • Microsoft Windows 10 1809

    OS
    Microsoft
    wszystkie wersje

  • Microsoft Windows 10 21h2

    OS
    Microsoft
    wszystkie wersje

  • Microsoft Windows 10 22h2

    OS
    Microsoft
    wszystkie wersje

  • Microsoft Windows 11 23h2

    OS
    Microsoft
    wszystkie wersje

  • Microsoft Windows 11 24h2

    OS
    Microsoft
    wszystkie wersje

  • Microsoft Windows 11 25h2

    OS
    Microsoft
    wszystkie wersje

  • Microsoft Windows 11 26h1

    OS
    Microsoft
    wszystkie wersje

  • Microsoft Windows Server 2012

    OS
    Microsoft
    r2

  • Microsoft Windows Server 2016

    OS
    Microsoft
    wszystkie wersje

  • Microsoft Windows Server 2019

    OS
    Microsoft
    wszystkie wersje

  • Microsoft Windows Server 2022

    OS
    Microsoft
    wszystkie wersje
🟢
PATCH DOSTĘPNY
Aktualizacja od producenta gotowa. Wdrożenie w ramach standardowego cyklu.
CWE
Referencje

Powiązane podatności

CVE-2026-33824CRITICAL9.8⚠ KEVPL ✓ten sam produkt

Double free w Windows IKE Extension umożliwia zdalne wykonanie kodu

CVE-2025-59287CRITICAL9.8⚠ KEVPL ✓ten sam produkt

RCE w Windows Server Update Service (WSUS) — deserializacja danych

CVE-2020-1040CRITICAL9.0⚠ KEVPL ✓ten sam produkt

RCE w Hyper-V RemoteFX vGPU — błąd walidacji wejścia od gościa

CVE-2020-1350CRITICAL10.0⚠ KEVPL ✓ten sam produkt

RCE w Windows DNS Server — krytyczna podatność SIGRed (CVSS 10.0)

CVE-2020-0646CRITICAL9.8⚠ KEVPL ✓ten sam produkt

RCE w Microsoft .NET Framework — nieprawidłowa walidacja danych wejściowych