Microsoft Azure CycleCloud: OS-Command-Injection ermöglicht Rechteerweiterung
Zusammenfassung
Microsoft hat CVE-2026-102224 für Azure CycleCloud veröffentlicht, eingestuft als hoch (CVSS 3.1 8.4). Eine OS-Command-Injection (CWE-78) erlaubt einem berechtigten Angreifer über das Netzwerk eine Rechteerweiterung. Der Angreifer benötigt hohe Privilegien auf dem CycleCloud-System sowie eine Benutzerinteraktion, es handelt sich also nicht um einen unauthentifizierten Angriff. Bisher wurde keine Ausnutzung beobachtet.
Betroffen
- Microsoft Azure CycleCloud ab 1.0.0 vor 8.10.1 (laut CNA-Eintrag)
Behoben in
- Azure CycleCloud 8.10.1 (laut CNA-Eintrag und VulDB; auf dem MSRC-Advisory bestätigen)
- Unbekannt, ob ältere, weiterhin gepflegte Versionszweige separate Fixes erhalten haben
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Das Upgrade auf 8.10.1 ist die dokumentierte Massnahme.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn.
- Nicht im Katalog der von CISA bekannten ausgenutzten Schwachstellen (KEV) aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein.
Unsere Empfehlung
- Alle Azure-CycleCloud-Instanzen und deren Versionen inventarisieren.
- Auf 8.10.1 oder neuer aktualisieren, nachdem die Fixversion im MSRC-Advisory bestätigt wurde.
- Administrative Konten einschränken und überprüfen, da hohe Privilegien erforderlich sind.
- Prüfen, ob das Webinterface oder die API von CycleCloud aus dem Internet erreichbar ist, und den Zugriff gegebenenfalls einschränken.
- MSRC-Advisory und NVD überwachen, da die NVD-Analyse noch ausstand.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center advisory CVE-2026-102224 msrc.microsoft.com
- CVE Record CVE-2026-102224 www.cve.org
- VulDB entry 434019 vuldb.com
- Rapid7 Patch Tuesday November 2026 www.rapid7.com
- Strix CVE-2026-102224 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.