CVE-2025-53767

Eskalacja uprawnień w Microsoft Azure OpenAI (SSRF, CVSS 10.0)

CVSS 10.0v3.1pub. 2025-08-07upd. 2025-08-14

Krytyczna podatność w Microsoft Azure OpenAI umożliwia nieuwierzytelnionemu atakującemu zdalną eskalację uprawnień. Ze względu na maksymalny wynik CVSS 10.0 oraz wektor ataku niewymagający uwierzytelnienia ani interakcji użytkownika, podatność stanowi natychmiastowe zagrożenie dla środowisk korporacyjnych korzystających z tej usługi.

▸ Pokaż oryginał (EN)

Azure OpenAI Elevation of Privilege Vulnerability

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jest jako CWE-918 (Server-Side Request Forgery — SSRF), co oznacza, że atakujący może zmusić serwer do wykonywania żądań sieciowych w jego imieniu. Wektor CVSS wskazuje na atak sieciowy (AV:N), bez wymagań dotyczących złożoności (AC:L), uwierzytelnienia (PR:N) ani interakcji po stronie użytkownika (UI:N). Zakres ataku wykracza poza bezpośrednio zaatakowany komponent (S:C), co sugeruje możliwość wpływu na zasoby w szerszym środowisku chmurowym Azure.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych zasobów oraz dokonać modyfikacji danych w środowisku Azure, co odpowiada wysokiemu wpływowi na poufność (C:H) i integralność (I:H) wskazanym w wektorze CVSS.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53767. Usługi Azure są zazwyczaj aktualizowane automatycznie po stronie Microsoft, jednak zaleca się weryfikację statusu aktualizacji w panelu zarządzania Azure oraz monitorowanie komunikatów MSRC.