Microsoft Azure CycleCloud: OS-Command-Injection führt zu lokaler Codeausführung
Zusammenfassung
Azure CycleCloud, ein Cluster-Management-Produkt für HPC- und Batch-Workloads auf Azure, enthält eine OS-Command-Injection-Schwachstelle (CWE-78). Ein Angreifer mit lokalem Zugriff auf den CycleCloud-Host, einem gültigen Konto mit niedrigen Rechten und einer Benutzerinteraktion kann Code auf dem System ausführen. CycleCloud hält üblicherweise Cloud-Zugangsdaten und kann Compute-Ressourcen starten, weshalb ein erfolgreicher Angriff die Vertraulichkeit, Integrität und Verfügbarkeit erheblich beeinträchtigen kann.
Betroffen
- Microsoft Azure CycleCloud 8.9.1 (CNA-Bereich: 1.0.0 bis vor 8.9.2)
- VulDB listet zusätzlich 8.9.2; dies widerspricht dem CNA-Bereich und ist nicht verifiziert
- Vollständiger betroffener Bereich: in den Microsoft Security Update Guide zu bestätigen
Behoben in
- Aktualisierung auf Azure CycleCloud 8.9.2 oder neuer (Fix-Version in den geprüften Quellen nicht durch die Herstellerwarnung bestätigt)
- Backports auf frühere 8.x-Zweige: Unbekannt.
Umgehung
- Unbekannt. Kein Workaround des Herstellers gefunden.
- Die Konten, die sich bei CycleCloud anmelden können, einschränken.
- Lokalen Shell-Zugriff auf den CycleCloud-Host einschränken.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Rapid7: Exploitation Less Likely, nicht öffentlich bekannt.
- Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt.
- CISA KEV: nicht gelistet. EPSS etwa 0.004.
Unsere Empfehlung
- Prüfen, ob Azure CycleCloud in Ihrer Umgebung eingesetzt wird.
- Nach Bestätigung der Fix-Version im Microsoft Security Update Guide auf 8.9.2 oder neuer aktualisieren.
- CycleCloud-Konten und lokalen Zugriff auf den Host überprüfen und reduzieren.
- Den Host auf unerwartete Befehlsausführungen überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide msrc.microsoft.com
- VulDB vuldb.com
- Vulners NVD record vulners.com
- Vulners CVE list record vulners.com
- Rapid7 October 2026 Patch Tuesday www.rapid7.com
- Strix CVE record www.strix.ai
- CycleCloud 8.9.2 release notes github.com
- CycleCloud release notes learn.microsoft.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 02:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.