CVE-2026-59115

Path Traversal w Microsoft Entra Provisioning Service umożliwia eskalację uprawnień

CVSS 9.9v3.1pub. 2026-08-07

Podatność typu path traversal (sekwencja '.../...//' ) w Microsoft Entra Provisioning Service (SyncFabric) pozwala uwierzytelnionemu atakującemu na eskalację uprawnień przez sieć. Wysoki wynik CVSS 9.9 oraz szeroki zakres wpływu (poufność, integralność, dostępność) czynią tę podatność krytyczną.

▸ Pokaż oryginał (EN)

'.../...//' in Microsoft Entra Provisioning Service (SyncFabric) allows an authorized attacker to elevate privileges over a network.

🤖 Analiza AI

Jak działa

Atakujący posiadający podstawowy dostęp sieciowy do usługi Microsoft Entra Provisioning Service (SyncFabric) może spreparować żądanie zawierające sekwencję path traversal '.../...//', która pozwala ominąć mechanizmy ograniczania ścieżki. Skutkuje to możliwością dostępu do zasobów lub wykonania operacji poza autoryzowanym kontekstem, co prowadzi do nieautoryzowanej eskalacji uprawnień. Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika ani szczególnie wysokich uprawnień wejściowych.

Skutki

Uwierzytelniony atakujący może uzyskać podwyższone uprawnienia w środowisku Microsoft Entra Provisioning Service, co potencjalnie skutkuje nieautoryzowanym dostępem do danych, ich modyfikacją lub zakłóceniem działania usługi (naruszenie poufności, integralności i dostępności w zakresie zmieniającym kontekst — Scope: Changed).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o aktualizacjach dostępne są pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-59115.

Kogo dotyczy

Microsoft Entra Provisioning Service (komponent SyncFabric) — szczegółowe wersje wskazane w referencjach producenta (Microsoft Security Response Center).