Microsoft Azure Front Door: Erweiterung von Rechten durch falsche Berechtigungen

Zusammenfassung

Microsoft Azure Front Door (AFD), ein globaler Einstiegspunkt für Webanwendungen, den Microsoft als Cloud-Dienst betreibt, enthält eine falsche Berechtigungsvergabe für eine kritische Ressource (CWE-732). Ein nicht autorisierter Angreifer mit Netzwerkzugriff, ohne Berechtigungen und ohne Benutzerinteraktion kann seine Rechte erweitern, mit hoher Auswirkung auf die Vertraulichkeit und geringer Auswirkung auf Integrität und Verfügbarkeit. Kunden installieren AFD nicht selbst, daher wird die Behebung voraussichtlich durch Microsoft erfolgen; die Quellen bestätigen nicht, ob Kunden handeln müssen.

Betroffen

• Microsoft Azure Front Door (Cloud-Dienst)
• Der CNA nennt den Bereich 1.0.0 vor Veröffentlichung. Dies ist ein Platzhalter für den Dienst und keine vom Kunden installierbare Version.

Behoben in

Unbekannt.

Umgehung

• Keine Workaround-Massnahme des Herstellers in den Quellen identifiziert.
• Allgemeine Härtung (nicht vom Hersteller für diese CVE bestätigt): AFD-Profile, Endpunkte, Routing-Regeln und WAF-Richtlinien inventarisieren, RBAC-Rollen für Front Door einschränken und die Historie der Konfigurationsänderungen prüfen.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn gemeldet; zum Zeitpunkt der Recherche nicht im KEV-Katalog.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Den MSRC-Advisory öffnen und das Feld zu Kundenmassnahmen sowie den Hinweis zum Fix-Status prüfen.
• Abklären, welche öffentlichen Webanwendungen hinter AFD betrieben werden, und deren Exponierung dokumentieren.
• RBAC-Zuweisungen für AFD und die Protokolle der Konfigurationsänderungen prüfen.
• NVD und KEV erneut prüfen, sobald die Analyse abgeschlossen ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-118742 msrc.microsoft.com
• CVE Record CVE-2026-118742 (CVE.org) www.cve.org
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Strix CVE-2026-118742 details www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:11.