CVE-2026-57100

SSRF w Microsoft Entra Provisioning Service umożliwia privilege escalation

CVSS 9.9v3.1pub. 2026-07-02upd. 2026-07-08

Podatność typu Server-Side Request Forgery (SSRF) w usłudze Microsoft Entra Provisioning Service (SyncFabric) pozwala uwierzytelnionemu atakującemu na eskalację uprawnień przez sieć. Krytyczny poziom CVSS 9.9 wskazuje na bardzo wysokie ryzyko naruszenia poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

Server-side request forgery (ssrf) in Microsoft Entra Provisioning Service (SyncFabric) allows an authorized attacker to elevate privileges over a network.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-918 (SSRF) oznacza, że atakujący może zmusić serwer do wykonywania żądań sieciowych w jego imieniu do wewnętrznych lub zewnętrznych zasobów. W przypadku usługi SyncFabric, zalogowany użytkownik z podstawowymi uprawnieniami może poprzez spreparowane żądania doprowadzić do wykonania operacji z wyższymi uprawnieniami. Wektor ataku sieciowy bez konieczności interakcji ofiary (UI:N) i ze zmienionym zakresem (S:C) sugeruje, że skutki mogą wykraczać poza bezpośrednio atakowany komponent.

Skutki

Atakujący z dostępem do konta może eskalować swoje uprawnienia w środowisku Microsoft Entra, potencjalnie uzyskując nieautoryzowany dostęp do zasobów wewnętrznych, danych tożsamości oraz naruszając poufność, integralność i dostępność systemu na poziomie krytycznym.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez Microsoft Security Response Center pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-57100

Kogo dotyczy

Microsoft Entra Provisioning Service (SyncFabric) — dokładne wersje wskazane w referencjach producenta (https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-57100)