CVE-2025-47158

Błąd sklasyfikowany jako CWE-302 (Authentication Bypass by Assumed-Immutable Data) oznacza, że mechanizm uwierzytelniania opiera się na danych, które są błędnie uznawane za niezmienne lub niemożliwe do sfałszowania przez atakującego. Manipulując tymi danymi, nieuprawniony użytkownik może ominąć weryfikację tożsamości bez znajomości prawidłowych poświadczeń. Atak jest możliwy zdalnie przez sieć, przy wysokiej złożoności (AC:H), co sugeruje konieczność spełnienia określonych warunków lub precyzyjnego przygotowania żądania.

Skuteczne wykorzystanie podatności pozwala atakującemu na eskalację uprawnień w środowisku Azure DevOps, potencjalnie uzyskując pełną kontrolę nad zasobami (poufność, integralność i dostępność ocenione jako HIGH), w tym nad repozytoriami kodu, potokami CI/CD oraz konfiguracją projektów.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — aktualizacja opisana w poradniku Microsoft Security Response Center pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-47158. W przypadku braku możliwości natychmiastowego wdrożenia łatki zaleca się ograniczenie dostępu do instancji Azure DevOps na poziomie sieci oraz wzmożone monitorowanie logów uwierzytelniania.

Microsoft Azure DevOps — wersje wskazane w referencjach producenta (Microsoft Security Response Center).