Microsoft Azure Pipelines: Remote Code Execution durch Command Injection
Zusammenfassung
Azure Pipelines, die CI/CD-Plattform von Microsoft, enthält eine Command-Injection-Schwachstelle (CWE-77), mit der ein nicht authentifizierter Angreifer über das Netzwerk Code ausführen kann. Gemäss CVSS-Vektor sind keine Berechtigungen und keine Benutzerinteraktion nötig, die Auswirkungen auf Vertraulichkeit und Integrität sind hoch. Microsoft dokumentiert diese CVE als Problem eines Cloud-Dienstes, bei dem keine Massnahmen durch Kunden nötig sind; der Umfang für selbst gehostete Agents und On-Premises-Azure-DevOps-Server ist unbekannt.
Betroffen
- Microsoft Azure Pipelines (Cloud-Dienst)
- Betroffene Versionen: Unbekannt. Aggregatoren nennen 'All versions', dies ist jedoch nicht gegen die MSRC-Produkttabelle verifiziert.
- Umfang für Azure DevOps Server (On-Premises) und selbst gehostete Agents: Unbekannt.
Behoben in
- Unbekannt. Microsoft gibt an, dass keine Massnahmen durch Kunden nötig sind, was auf einen Fix auf Dienstseite hindeutet.
Umgehung
- Kein Workaround durch Kunden dokumentiert.
- Microsoft gibt an, dass für diese CVE keine Massnahmen nötig sind.
Ausnutzung
- Keine Ausnutzung durch Microsoft bestätigt.
- CISA-SSVC-Bewertung: Exploitation none, Automatable yes, Technical Impact total.
- Der MSRC-Vektor enthält die temporale Metrik E:P (Proof of Concept), was ungeklärt ist: Dies kann auf einen öffentlichen PoC oder auf eine vorsorgliche Einstufung hinweisen.
- Kein öffentlicher PoC und keine Analyse von Forschern gefunden.
Unsere Empfehlung
- Die MSRC-Produkttabelle prüfen, um die betroffenen Dienste zu bestätigen.
- Wenn nur der von Microsoft gehostete Azure-DevOps-Dienst genutzt wird, sind laut Hersteller keine Massnahmen nötig.
- Selbst gehostete Agents und On-Premises-Azure-DevOps-Server-Instanzen, falls vorhanden, inventarisieren.
- Pipeline-Definitionen auf unvertrauenswürdige Eingaben in Shell-Tasks prüfen und bei Verdacht auf Missbrauch Secrets rotieren.
- NVD-Eintrag und CISA KEV auf Änderungen überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
mehmet-emir-eroglu/CVE-2026-105014
Quellen der Recherche
- Microsoft Security Response Center: CVE-2026-105014 msrc.microsoft.com
- VulDB: CVE-2026-105014 vuldb.com
- Strix: CVE-2026-105014 www.strix.ai
- OffSeq Radar: CVE-2026-105014 radar.offseq.com
- Helix ML Threat Watch: Azure Pipelines command injection helix.ml
- CVE Threat Intelligence: CVE-2026-105014 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:30.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.