CVE-2026-58275

Brak autoryzacji w Azure DNS umożliwia eskalację uprawnień

CVSS 10.0v3.1pub. 2026-07-24upd. 2026-08-07

Podatność w usłudze Azure DNS polega na braku wymaganych mechanizmów autoryzacji (CWE-862), co pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień przez sieć. Ocena CVSS 10.0 (CRITICAL) wskazuje na maksymalne ryzyko — atak nie wymaga żadnych uprawnień ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Missing authorization in Azure DNS allows an unauthorized attacker to elevate privileges over a network.

🤖 Analiza AI

Jak działa

Nieuwierzytelniony atakujący działający zdalnie przez sieć może wysyłać żądania do Azure DNS bez konieczności posiadania ważnych poświadczeń lub uprawnień. Z powodu braku właściwej weryfikacji autoryzacji (missing authorization) system nie odrzuca tych żądań, co pozwala atakującemu na uzyskanie podwyższonych uprawnień. Podatność ma zasięg zmieniający się poza komponent źródłowy (Scope: Changed), co sugeruje możliwość wpływu na inne zasoby w środowisku.

Skutki

Atakujący może uzyskać podwyższone uprawnienia w środowisku Azure DNS bez żadnego uwierzytelnienia, co może prowadzić do nieautoryzowanej modyfikacji rekordów DNS oraz zakłócenia dostępności usług (wysoka integralność i wysoka dostępność według wektora CVSS).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o aktualizacjach dostępne są pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-58275. Ponieważ Azure DNS jest usługą zarządzaną, Microsoft może wdrożyć poprawki po stronie infrastruktury bez udziału użytkownika końcowego — zaleca się weryfikację statusu w portalu Azure oraz monitorowanie aktywności DNS.

Kogo dotyczy

Usługa Microsoft Azure DNS — szczegółowe informacje o dotkniętych wersjach lub konfiguracjach wskazane są w referencjach producenta (Microsoft Security Response Center).