CVE-2026-32213

Nieprawidłowa autoryzacja w Azure AI Foundry umożliwia privilege escalation

CVSS 10.0v3.1pub. 2026-04-03upd. 2026-04-06

Podatność w Microsoft Azure AI Foundry polega na nieprawidłowej autoryzacji (CWE-285, CWE-863), która pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień przez sieć. Ocena CVSS 10.0 wskazuje na maksymalny poziom krytyczności — exploit jest możliwy bez żadnych uprawnień i bez interakcji użytkownika.

▸ Pokaż oryginał (EN)

Improper authorization in Azure AI Foundry allows an unauthorized attacker to elevate privileges over a network.

🤖 Analiza AI

Jak działa

Błąd wynika z nieprawidłowej implementacji kontroli dostępu w usłudze Azure AI Foundry. Atakujący działający zdalnie, bez konieczności posiadania konta ani uprawnień, może wysłać odpowiednio spreparowane żądanie sieciowe, które obejdzie mechanizmy autoryzacji. W efekcie atakujący uzyskuje wyższy poziom dostępu niż mu przysługuje, co w kontekście środowiska chmurowego (zakres Scope: Changed) oznacza potencjalne przekroczenie granic izolacji między zasobami.

Skutki

Nieautoryzowany atakujący może uzyskać podwyższone uprawnienia w środowisku Azure AI Foundry, co zgodnie z wektorem CVSS prowadzi do pełnego naruszenia poufności, integralności i dostępności zasobów. Może to obejmować dostęp do cudzych danych, modyfikację zasobów lub zakłócenie działania usługi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32213. W przypadku usług zarządzanych przez Microsoft (SaaS/PaaS) aktualizacja może zostać wdrożona automatycznie po stronie dostawcy — zaleca się weryfikację statusu w Microsoft Security Response Center.