Microsoft Azure CycleCloud: Path Traversal führt zu Offenlegung von Informationen

Zusammenfassung

Azure CycleCloud, ein Werkzeug zur Orchestrierung von High Performance Computing-Umgebungen auf Azure, enthält eine Path-Traversal-Schwachstelle (CWE-22), die einem nicht authentifizierten Angreifer aus dem Netzwerk den Zugriff auf Informationen ermöglicht, die ihm nicht zustehen. Laut CVSS-Vektor sind weder Anmeldung noch Benutzerinteraktion nötig, und die Auswirkung beschränkt sich auf die Vertraulichkeit. Das Risiko ist am grössten bei CycleCloud-Instanzen, die aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar sind.

Betroffen

• Microsoft Azure CycleCloud 8.9.2 bis vor 8.10.1 (gemäss CVE-Eintrag)
• Ob ältere Versionen betroffen sind: Unbekannt.

Behoben in

• Aktualisierung auf Azure CycleCloud 8.10.1 (gemäss CVE-Eintrag und Herstellerdokumentation; MSRC-Advisory nicht direkt überprüft).

Umgehung

• Kein Workaround des Herstellers gefunden.
• Bis zur Aktualisierung den Netzwerkzugriff auf die Weboberfläche von CycleCloud einschränken (allgemeine Massnahme, keine Herstelleraussage).

Ausnutzung

• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und gibt an, dass die Schwachstelle nicht öffentlich bekannt ist.
• CISA SSVC: Exploitation none, Automatable yes.
• Laut Strix nicht im CISA KEV-Katalog (Drittquelle, bei CISA prüfen).
• Keine öffentlichen Proof-of-Concept- oder Exploit-Berichte gefunden. Der CVE ist sehr neu.

Unsere Empfehlung

• Prüfen, ob Azure CycleCloud im Einsatz ist; falls nicht, ist keine Massnahme nötig.
• Falls im Einsatz, die installierte Version prüfen und auf 8.10.1 aktualisieren, zuerst bei aus dem Internet erreichbaren Instanzen.
• Zugriff auf die CycleCloud-Weboberfläche bis zur Behebung auf vertrauenswürdige Netze beschränken.
• Ungewöhnliche Anfragen überwachen und die Behebung anhand des MSRC-Advisory verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-113823 msrc.microsoft.com
• CVE Record CVE-2026-113823 www.cve.org
• Strix: CVE-2026-113823 www.strix.ai
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Azure CycleCloud overview learn.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:53.