Microsoft Azure DevOps Server: Server-side Request Forgery führt zu Informationsoffenlegung
Zusammenfassung
Eine Server-side Request Forgery (SSRF) Schwachstelle in Azure DevOps Server erlaubt einem authentifizierten Angreifer mit niedrigen Berechtigungen, den Server Anfragen an unbeabsichtigte Ziele im Netzwerk senden zu lassen. Dadurch können Informationen offengelegt werden, auf die der Angreifer keinen Zugriff haben sollte, mit hoher Auswirkung auf die Vertraulichkeit und ohne Auswirkung auf Integrität oder Verfügbarkeit. Es ist keine Benutzerinteraktion erforderlich, und der vom CNA veröffentlichte CVSS-Wert beträgt 6.5 (mittel); die Analyse durch NVD war zum Zeitpunkt der Erstellung noch ausstehend.
Betroffen
- Microsoft Azure DevOps Server: Versionen 1.0.0 bis vor Patch 8
- Microsoft Azure DevOps (Cloud-Dienst): Versionen 1.0.0 bis vor Sprint 278
Behoben in
- Microsoft Azure DevOps Server: Patch 8
- Microsoft Azure DevOps (Cloud-Dienst): Sprint 278 (serverseitige Korrektur, keine Massnahmen durch Kunden nötig)
Umgehung
Unbekannt.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn.
- Nicht öffentlich bekannt gegeben; kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
- Nicht im CISA KEV-Katalog aufgeführt.
Unsere Empfehlung
- Microsoft Azure DevOps Server Patch 8 zeitnah einspielen, zuerst auf internet-exponierten Instanzen und Servern mit vielen Benutzerkonten.
- Knowledge-Base-Artikel und Download-Quelle auf der MSRC-Seite vor dem Rollout prüfen.
- Konten überprüfen, die Service Connections und Hooks erstellen oder bearbeiten können, und Selbstregistrierung einschränken.
- Logs auf ungewöhnliche ausgehende Anfragen des Azure DevOps Server überwachen.
- Reine Cloud-Kunden benötigen keine Massnahmen vor Ort.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-112745 msrc.microsoft.com
- CVE Record CVE-2026-112745 www.cve.org
- Rapid7: November 2026 Patch Tuesday www.rapid7.com
- Strix: CVE-2026-112745 www.strix.ai
- Talos: Microsoft Patch Tuesday November 2026 blog.talosintelligence.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.