CVE-2025-49752

Azure Bastion – krytyczna podatność privilege escalation (CVSS 10.0)

CVSS 10.0v3.1pub. 2025-11-20upd. 2025-11-21

CVE-2025-49752 to krytyczna podatność typu privilege escalation (elevation of privilege) w Microsoft Azure Bastion, umożliwiająca nieuwierzytelnionemu atakującemu zdalnie uzyskanie podwyższonych uprawnień. Podatność otrzymała maksymalną ocenę CVSS 10.0, co czyni ją wyjątkowo poważnym zagrożeniem dla środowisk chmurowych Azure.

▸ Pokaż oryginał (EN)

Azure Bastion Elevation of Privilege Vulnerability

🤖 Analiza AI

Jak działa

Podatność jest sklasyfikowana jako CWE-294 (Authentication Bypass by Capture-replay), co oznacza, że atakujący może przechwycić lub odtworzyć dane uwierzytelniające bądź tokeny sesji w celu ominięcia mechanizmów kontroli dostępu. Wektor ataku jest sieciowy, nie wymaga żadnych uprawnień ani interakcji użytkownika, a zakres oddziaływania przekracza granice atakowanego komponentu (Scope: Changed). Oznacza to, że skutki eksploitacji mogą wykraczać poza sam komponent Azure Bastion i wpływać na zasoby powiązane.

Skutki

Pomyślna eksploitacja umożliwia atakującemu uzyskanie podwyższonych uprawnień w środowisku Azure, co może prowadzić do nieautoryzowanego dostępu do chronionych zasobów, ich modyfikacji lub częściowego zakłócenia dostępności — przy pełnym naruszeniu poufności i integralności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez Microsoft Security Response Center pod adresem: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-49752. Jako usługa zarządzana przez Microsoft, Azure Bastion może otrzymać aktualizacje automatycznie po stronie platformy — zaleca się weryfikację statusu w portalu Azure oraz śledzenie komunikatów MSRC.